PHP CGI Windows平台远程代码执行漏洞(CVE-2024-4577)安全风险通告第二次更新

admin
admin
admin
108033
文章
90
评论
2024年6月11日22:29:05评论115 views字数 3225阅读10分45秒阅读模式
 

漏洞概述
漏洞名称 PHP CGI Windows平台远程代码执行漏洞
漏洞编号 QVD-2024-21704,CVE-2024-4577
公开时间 2024-06-07 影响量级 十万级
奇安信评级 高危 CVSS 3.1分数 9.8
威胁类型 代码执行 利用可能性 高
POC状态 已公开 在野利用状态 已发现
EXP状态 已公开 技术细节状态 已公开
危害描述：未经身份认证的远程攻击者可以通过参数注入攻击在远程PHP服务器上执行任意代码。
01
漏洞详情
>>>>
影响组件

PHP（Hypertext Preprocessor，超文本预处理器）是一种广泛使用的开源脚本语言，主要用于Web开发，用于生成动态网页内容。PHP的语法借鉴了C、Java、Perl等语言的特点，易于学习，并且可以快速执行。

>>>>
漏洞描述

奇安信CERT监测到官方修复PHP CGI Windows平台特定语系(简体中文936/繁体中文950/日文932)远程代码执行漏洞(CVE-2024-4577)，未经身份认证的远程攻击者可以通过特定的字符序列绕过此前CVE-2012-1823的防护，通过参数注入在配置了cgi选项的远程PHP服务器上执行任意代码，从而导致远程代码执行、敏感信息泄露或造成服务器崩溃。需要注意的是cgi选项默认在xampp中开启，因此xampp的用户请升级到最新版本，鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。

本次更新内容： 

更新漏洞威胁状态；

新增产线解决方案； 

新增复现截图。

>>>>
在野攻击IOC

该漏洞在网上公开披露后，奇安信威胁情报红雨滴团队第一时间进行了跟进，发现自6月7号该漏洞细节披露后，出现了多起以该漏洞为攻击向量的攻击事件。

最早的攻击活动时间为2024-06-08 13:20:29，攻击者在xampphtdocs目录下上传webshell，xxl.php，updateout4.php，并从以下服务器下载payload。

PHP CGI Windows平台远程代码执行漏洞(CVE-2024-4577)安全风险通告第二次更新

http://110.41.189.19:8000/ttt.exe

2024-06-08 19:40:31，通过该漏洞下发TellYouThePass勒索软件：

http://88.218.76.13/dd3.hta

http://88.218.76.13/d3.hta

2024-06-08 20:45:06，通过该漏洞进行挖矿相关攻击活动：

http://img6.tuwan.com/0a977469-c1ac-4e94-beca-1b89d18ab3bf.txt/test.bat

http://img6.tuwan.com/9e9cdf6b-8471-4d2c-b422-8de1221d37f6.txt/test.bat

http://img6.tuwan.com/0a977469-c1ac-4e94-beca-1b89d18ab3bf.txt/xmrig.exe

http://img6.tuwan.com/0a977469-c1ac-4e94-beca-1b89d18ab3bf.txt/configjashgddfh.json

http://img6.tuwan.com/0a977469-c1ac-4e94-beca-1b89d18ab3bf.txt/Wi.png

矿池地址：

auto.c3pool.org:443

整个漏洞的相关时间线如下所示：

2024-06-06：Devco blog对该漏洞进行了披露。

2024-06-07：奇安信cert完成复现并对外推送安全通告；

twitter上开始出现exp利用。

2024-06-08：针对xampp默认配置的exp公开。

2024-06-08：下午13:20:29，奇安信威胁情报红雨滴团队捕获发现第一个在野攻击。

02
影响范围
>>>>
影响版本

PHP 8.3 < 8.3.8

PHP 8.2 < 8.2.20

PHP 8.1 < 8.1.29

（主要影响PHP在Windows操作系统上的安装版本）

>>>>
其他受影响组件

Apache HTTP Server

（注：由于Apache HTTP Server常与PHP一起使用，特别是当PHP以CGI模式运行时，Apache HTTP Server可能会成为攻击的目标）

03
复现情况
目前，奇安信威胁情报中心安全研究员已成功复现PHP CGI Windows平台远程代码执行漏洞(CVE-2024-4577)，截图如下：

PHP CGI Windows平台远程代码执行漏洞(CVE-2024-4577)安全风险通告第二次更新

04
处置建议
>>>>
安全更新

目前官方已有可更新版本，建议受影响用户升级至最新版本：
PHP 8.3 >= 8.3.8
PHP 8.2 >= 8.2.20
PHP 8.1 >= 8.1.29
注：由于 PHP 8.0、PHP 7 和 PHP 5 的分支已终止使用，并且不再维护，服务器管理员可以参考“缓解方案”中的临时补丁建议。
官方下载地址：
https://www.php.net/downloads.php
缓解方案：
1.对于无法升级PHP的用户：
以下重写规则可用于阻止攻击。需要注意的是，这些规则仅对繁体中文、简体中文和日语语言环境起到临时缓解作用。在实际操作中，仍然建议更新到补丁版本或迁移架构。
RewriteEngine OnRewriteCond %{QUERY_STRING} ^%ad [NC]RewriteRule .? - [F,L]
2. 对于使用 XAMPP for Windows 的用户：
如果确认不需要 PHP CGI 功能，可以通过修改以下 Apache HTTP Server 配置来避免受到该漏洞的影响：
C:/xampp/apache/conf/extra/httpd-xampp.conf
找到相应的行：
ScriptAlias /php-cgi/ "C:/xampp/php/"
并将其注释掉：
# ScriptAlias /php-cgi/ "C:/xampp/php/"
>>>>
产品解决方案

奇安信开源卫士已支持

奇安信开源卫士20240611. 651 版本已支持对PHP CGI Windows平台远程代码执行漏洞(CVE-2024-4577)的检测。

奇安信网神网络数据传感器系统产品检测方案

奇安信网神网络数据传感器（NDS5000/7000/9000系列）产品，已具备该漏洞的检测能力。规则ID为：8070，建议用户尽快升级检测规则库至2406111700以上；

奇安信天眼检测方案

奇安信天眼新一代威胁感知系统在第一时间加入了该漏洞的检测规则，请将规则包升级到3.0.0611.14353及以上版本。

规则名称：PHP CGI Windows平台远程代码执行漏洞(CVE-2024-4577)

规则ID：0x10021BCE

奇安信天眼流量探针（传感器）升级方法：系统配置->设备升级->规则升级，选择“网络升级”或“本地升级”。

奇安信自动化渗透测试系统检测方案

奇安信自动化渗透测试系统已经能够有效检测针对该漏洞的攻击，请将插件版本和指纹版本升级到202406072600以上版本。规则名称：PHP CGI Windows平台 CVE-2024-4577 远程代码执行漏洞。奇安信自动化渗透测试系统规则升级方法：系统管理->升级管理->插件升级（指纹升级），选择“网络升级”或“本地升级”。

05
参考资料
[1]https://devco.re/blog/2024/06/06/security-alert-cve-2024-4577-php-cgi-argument-injection-vulnerability-en/

[2]https://www.kb.cert.org/vuls/id/520827

[3]https://www.php.net/manual/en/security.cgi-bin.php

06
时间线
2024年6月7日，奇安信 CERT发布安全风险通告。

2024年6月11日，奇安信 CERT发布安全风险通告第二次更新。

07

原文始发于微信公众号（奇安信 CERT）：【已发现在野攻击】PHP CGI Windows平台远程代码执行漏洞(CVE-2024-4577)安全风险通告第二次更新

 

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年6月11日22:29:05
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   PHP CGI Windows平台远程代码执行漏洞(CVE-2024-4577)安全风险通告第二次更新https://cn-sec.com/archives/2839225.html

发表评论

匿名网友 填写信息