CVE-2024-4577

Nome do Software Vulnerável e Versões Afetadas PHP versões 8.1.0 até 8.1.28 PHP versões 8.2.0 até 8.2.19 PHP versões 8.3.0 até 8.3.7

Description Uma falha de injeção de comando de SO existe no módulo PHP CGI no Windows quando usado com Apache. O problema ocorre porque a implementação do PHP no Windows não considera o comportamento Best-Fit, no qual caracteres Unicode são convertidos para os caracteres ANSI correspondentes mais próximos. Um invasor remoto pode enviar uma solicitação HTTP especialmente formatada contendo sequências de caracteres específicas que o módulo php-cgi interpreta incorretamente como opções do PHP. Isso permite que o invasor passe opções arbitrárias para o binário do PHP, podendo revelar o código-fonte de scripts ou executar código PHP arbitrário no servidor. A exploração no mundo real foi observada globalmente, incluindo uma violação massiva no provedor de hospedagem japonês Onamae, afetando aproximadamente 26.000 servidores, bem como ataques nos EUA, Reino Unido, Singapura, Indonésia, Taiwan, Hong Kong, Índia, Espanha e Malásia. Os invasores utilizaram essa falha para implantar o Quasar RAT, mineradores de criptomoedas XMRig e plugins do Cobalt Strike TaoWu para obter privilégios de sistema e manter a persistência.

Recommendations Atualize o PHP para a versão 8.1.29. Atualize o PHP para a versão 8.2.20. Atualize o PHP para a versão 8.3.8. Como mitigação temporária, desative a configuração session.upload progress no arquivo php.ini. Desative a diretiva expose php e restrinja a lista disable functions no php.ini para fortalecer o servidor contra a tomada de controle do host.