漏洞概述 | |||
漏洞名称 | PHP CGI Windows平台远程代码执行漏洞 | ||
漏洞编号 | QVD-2024-21704,CVE-2024-4577 | ||
公开时间 | 2024-06-07 | 影响量级 | 十万级 |
奇安信评级 | 高危 | CVSS 3.1分数 | 9.8 |
威胁类型 | 代码执行 | 利用可能性 | 高 |
POC状态 | 已公开 | 在野利用状态 | 已发现 |
EXP状态 | 已公开 | 技术细节状态 | 已公开 |
危害描述:未经身份认证的远程攻击者可以通过参数注入攻击在远程PHP服务器上执行任意代码。 |
本次更新内容:
更新漏洞威胁状态;
新增产线解决方案;
新增复现截图。
最早的攻击活动时间为2024-06-08 13:20:29,攻击者在xampphtdocs目录下上传webshell,xxl.php,updateout4.php,并从以下服务器下载payload。
http://110.41.189.19:8000/ttt.exe
2024-06-08 19:40:31,通过该漏洞下发TellYouThePass勒索软件:
http://88.218.76.13/dd3.hta
http://88.218.76.13/d3.hta
2024-06-08 20:45:06,通过该漏洞进行挖矿相关攻击活动:
http://img6.tuwan.com/0a977469-c1ac-4e94-beca-1b89d18ab3bf.txt/test.bat
http://img6.tuwan.com/9e9cdf6b-8471-4d2c-b422-8de1221d37f6.txt/test.bat
http://img6.tuwan.com/0a977469-c1ac-4e94-beca-1b89d18ab3bf.txt/xmrig.exe
http://img6.tuwan.com/0a977469-c1ac-4e94-beca-1b89d18ab3bf.txt/configjashgddfh.json
http://img6.tuwan.com/0a977469-c1ac-4e94-beca-1b89d18ab3bf.txt/Wi.png
矿池地址:
auto.c3pool.org:443
整个漏洞的相关时间线如下所示:
2024-06-06:Devco blog对该漏洞进行了披露。
2024-06-07:奇安信cert完成复现并对外推送安全通告;
twitter上开始出现exp利用。
2024-06-08:针对xampp默认配置的exp公开。
2024-06-08:下午13:20:29,奇安信威胁情报红雨滴团队捕获发现第一个在野攻击。
PHP 8.2 < 8.2.20
PHP 8.1 < 8.1.29
(主要影响PHP在Windows操作系统上的安装版本)
(注:由于Apache HTTP Server常与PHP一起使用,特别是当PHP以CGI模式运行时,Apache HTTP Server可能会成为攻击的目标)
RewriteEngine On
RewriteCond %{QUERY_STRING} ^%ad
RewriteRule .? -
ScriptAlias /php-cgi/ "C:/xampp/php/"
"C:/xampp/php/" ScriptAlias /php-cgi/
奇安信开源卫士20240611. 651 版本已支持对PHP CGI Windows平台远程代码执行漏洞(CVE-2024-4577)的检测。
奇安信网神网络数据传感器系统产品检测方案
奇安信网神网络数据传感器(NDS5000/7000/9000系列)产品,已具备该漏洞的检测能力。规则ID为:8070,建议用户尽快升级检测规则库至2406111700以上;
奇安信天眼检测方案
奇安信天眼新一代威胁感知系统在第一时间加入了该漏洞的检测规则,请将规则包升级到3.0.0611.14353及以上版本。
规则名称:PHP CGI Windows平台远程代码执行漏洞(CVE-2024-4577)
规则ID:0x10021BCE
奇安信天眼流量探针(传感器)升级方法:系统配置->设备升级->规则升级,选择“网络升级”或“本地升级”。
奇安信自动化渗透测试系统检测方案
奇安信自动化渗透测试系统已经能够有效检测针对该漏洞的攻击,请将插件版本和指纹版本升级到202406072600以上版本。规则名称:PHP CGI Windows平台 CVE-2024-4577 远程代码执行漏洞。奇安信自动化渗透测试系统规则升级方法:系统管理->升级管理->插件升级(指纹升级),选择“网络升级”或“本地升级”。
[2]https://www.kb.cert.org/vuls/id/520827
[3]https://www.php.net/manual/en/security.cgi-bin.php
2024年6月11日,奇安信 CERT发布安全风险通告第二次更新。
原文始发于微信公众号(奇安信 CERT):【已发现在野攻击】PHP CGI Windows平台远程代码执行漏洞(CVE-2024-4577)安全风险通告第二次更新
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论