CVE-2024-4577

Nome do Software Vulnerável e Versões Afetadas PHP versões 8.1.0 a 8.1.28 PHP versões 8.2.0 a 8.2.19 PHP versões 8.3.0 a 8.3.7

Descrição Uma falha de injeção de comando de SO existe no módulo PHP CGI no Windows quando utilizado com Apache. O problema ocorre porque a implementação do PHP no Windows não considera o comportamento "Best-Fit", no qual caracteres Unicode são convertidos para os caracteres ANSI correspondentes mais próximos. Um invasor remoto pode enviar solicitações HTTP especialmente formatadas contendo sequências de caracteres específicas que o módulo php-cgi interpreta incorretamente como opções do PHP. Isso permite que o invasor passe opções arbitrárias para o binário do PHP, podendo levar à revelação do código-fonte dos scripts ou à execução remota de código (RCE) no servidor.

A exploração no mundo real tem sido generalizada, com relatos de ataques a organizações no Japão, EUA, Reino Unido, Singapura, Indonésia, Taiwan, Hong Kong, Índia, Espanha e Malásia. Os incidentes incluem a violação de um provedor de hospedagem japonês afetando aproximadamente 26.000 servidores e o comprometimento de 25 servidores afiliados ao governo dos EUA. Os invasores utilizaram esta falha para implantar Quasar RAT, mineradores de criptomoedas XMRig e plugins do Cobalt Strike TaoWu, frequentemente complementando com exploits de nível de kernel para escalar privilégios de www-data para root.

Recomendações Atualize o PHP para as versões 8.1.29, 8.2.20 ou 8.3.8, respectivamente. Como mitigação temporária, desative a configuração session.upload progress no arquivo php.ini. Desative o uso do PHP-CGI em servidores expostos à internet. Restrinja o uso de ferramentas administrativas e implemente a assinatura de módulos de kernel para evitar a escalada de privilégios.