漏洞概述

漏洞名称

PHP CGI Windows平台远程代码执行漏洞

漏洞编号

QVD-2024-21704,CVE-2024-4577

公开时间

2024-06-07

影响量级

十万级

奇安信评级

高危

CVSS 3.1分数

9.8

威胁类型

代码执行

利用可能性

POC状态

已公开

在野利用状态

已发现

EXP状态

已公开

技术细节状态

已公开

危害描述:未经身份认证的远程攻击者可以通过参数注入攻击在远程PHP服务器上执行任意代码。

01
漏洞详情

影响组件

PHP(Hypertext Preprocessor,超文本预处理器)是一种广泛使用的开源脚本语言,主要用于Web开发,用于生成动态网页内容。PHP的语法借鉴了C、Java、Perl等语言的特点,易于学习,并且可以快速执行。

漏洞描述

奇安信CERT监测到官方修复PHP CGI Windows平台特定语系(简体中文936/繁体中文950/日文932)远程代码执行漏洞(CVE-2024-4577),未经身份认证的远程攻击者可以通过特定的字符序列绕过此前CVE-2012-1823的防护,通过参数注入在配置了cgi选项的远程PHP服务器上执行任意代码,从而导致远程代码执行、敏感信息泄露或造成服务器崩溃。需要注意的是cgi选项默认在xampp中开启,因此xampp的用户请升级到最新版本,鉴于此漏洞影响范围较大,建议客户尽快做好自查及防护。

本次更新内容:

更新漏洞威胁状态;

新增产线解决方案;

新增复现截图。

在野攻击IOC

该漏洞在网上公开披露后,奇安信威胁情报红雨滴团队第一时间进行了跟进,发现自6月7号该漏洞细节披露后,出现了多起以该漏洞为攻击向量的攻击事件。

最早的攻击活动时间为2024-06-08 13:20:29,攻击者在xampp\htdocs\目录下上传webshell,xxl.php,updateout4.php,并从以下服务器下载payload。

图片

http://110.41.189.19:8000/ttt.exe

2024-06-08 19:40:31,通过该漏洞下发TellYouThePass勒索软件:

http://88.218.76.13/dd3.hta

http://88.218.76.13/d3.hta

2024-06-08 20:45:06,通过该漏洞进行挖矿相关攻击活动:

http://img6.tuwan.com/0a977469-c1ac-4e94-beca-1b89d18ab3bf.txt/test.bat

http://img6.tuwan.com/9e9cdf6b-8471-4d2c-b422-8de1221d37f6.txt/test.bat

http://img6.tuwan.com/0a977469-c1ac-4e94-beca-1b89d18ab3bf.txt/xmrig.exe

http://img6.tuwan.com/0a977469-c1ac-4e94-beca-1b89d18ab3bf.txt/configjashgddfh.json

http://img6.tuwan.com/0a977469-c1ac-4e94-beca-1b89d18ab3bf.txt/Wi.png

矿池地址:

auto.c3pool.org:443

整个漏洞的相关时间线如下所示:

2024-06-06:Devco blog对该漏洞进行了披露。

2024-06-07:奇安信cert完成复现并对外推送安全通告;

                  twitter上开始出现exp利用。

2024-06-08:针对xampp默认配置的exp公开。

2024-06-08:下午13:20:29,奇安信威胁情报红雨滴团队捕获发现第一个在野攻击。

02
影响范围

影响版本

PHP 8.3 < 8.3.8

PHP 8.2 < 8.2.20

PHP 8.1 < 8.1.29

(主要影响PHP在Windows操作系统上的安装版本)

其他受影响组件

Apache HTTP Server

(注:由于Apache HTTP Server常与PHP一起使用,特别是当PHP以CGI模式运行时,Apache HTTP Server可能会成为攻击的目标)

03
复现情况
目前,奇安信威胁情报中心安全研究员已成功复现PHP CGI Windows平台远程代码执行漏洞(CVE-2024-4577),截图如下:

图片

04
处置建议

安全更新

目前官方已有可更新版本,建议受影响用户升级至最新版本:
PHP 8.3 >= 8.3.8
PHP 8.2 >= 8.2.20
PHP 8.1 >= 8.1.29
注:由于 PHP 8.0、PHP 7 和 PHP 5 的分支已终止使用,并且不再维护,服务器管理员可以参考“缓解方案”中的临时补丁建议。
官方下载地址:
https://www.php.net/downloads.php
缓解方案:
1.对于无法升级PHP的用户:
以下重写规则可用于阻止攻击。需要注意的是,这些规则仅对繁体中文、简体中文和日语语言环境起到临时缓解作用。在实际操作中,仍然建议更新到补丁版本或迁移架构。
RewriteEngine On
RewriteCond %{QUERY_STRING} ^%ad [NC]
RewriteRule .? - [F,L]

  1. 对于使用 XAMPP for Windows 的用户:
    如果确认不需要 PHP CGI 功能,可以通过修改以下 Apache HTTP Server 配置来避免受到该漏洞的影响:
    C:/xampp/apache/conf/extra/httpd-xampp.conf
    找到相应的行:
    ScriptAlias /php-cgi/ "C:/xampp/php/"
    并将其注释掉:

    ScriptAlias /php-cgi/ "C:/xampp/php/"

信息来源:奇安信CERT

火毅盾-用心铸造网络安全