Az Eindbazen csapata a Nullcon CTF versenyén fedezett fel egy távoli kódfuttatásra alkalmas hibát a PHP CGI burkolójában. A problémát jelentették a PHP biztonsági csapatának, a hibajegy azonban véletlenül még a javítás előtt nyilvánosságra került.
A probléma egy 2004-es módosításból adódik, ami a CGI specifikációnak nem megfelelő módon dolgozza fel az "=" nélküli URL paramétereket. Amennyiben nem történik értékadás, a '?' utáni sztringek gyakorlatilag egy az egyben a php-cgi szkript parancssori argumentumaiként kerülnek átadásra, innentől pedig nem tűnik nagyon nehéznek a kódfuttatás elérése, annak ellenére, hogy a -r kapcsoló és társai a környezeti változók beállításai miatt nem használhatók. PoC egyelőre nem került ki - nekem pedig még nem volt időm a problémával foglalkozni - ha fejlemény van, frissítem a posztot.
Workaround/patch az Eindbazen oldalán található.
Friss: Metasploit modul elkészült. A PHP által kiadott 5.4.2/5.3.12 nem javítja a problémát! A frissítéssel célszerű megvárnia következő, várhatóan még a nap folyamán megérkező 5.4.3/5.3.13-at. Elkerülő megoldás Apache-hoz:
RewriteCond %{QUERY_STRING} ^(%2d|-)[^=]+$ [NC]
RewriteRule ^(.*) $1? [L]
Friss2: jogosnak tűnő kérdés, hogy 2012-ben mégis hol használnak ilyen konfigurációt? Nos, például a Sony-nál... (via Tyra3l)
Friss (május 8.): Végre valahára megjelent a hivatalos javított verzió.
Krasznay Csabának pedig gratulálunk doktori védéséhez :)
Tyra3l 2012.05.04. 00:30:04
tovabbi adalek, hogy az elkapkodott kiadas annak koszonheto, hogy a bugtrackerben egy hiba folytan kiment publicba a hibajegy.
ja, es valaki masnak is szemet szurt, amit mar februarban reportoltam, hogy a private/security hibajegyeknel is elerhetoek bizonyos informaciok barki szamara (summary, Submitted, Modified, From, Assigned, Status, Package, PHP version, OS,
CVE-ID)
szoval semmi kulonos, csak a szokasos. :)
Mr. X 2012.05.04. 21:55:32
ha lesz is patch, mikorra fogják alkalmazni vajon mindenhol?
Tyra3l 2012.05.05. 00:52:51
azert mezei cgi-t viszonylag keves helyen hasznalnak, ahol megis, ott az eindbazen.net-es mod_rewrite, vagy php patch alkalmazasaval mitigalhato a problema.
ugy tudtam hogy lesz majd hivatalos javitas (marmint ezuttal jo esetben olyan, ami mukodik is) is, de eddig nem jott ki, most meg mar punnyadas meg hetvege van, szoval nem tudom, hogy mikorra lesz belole valami.
Tyrael