Неприємна помилка з дуже простим експлойтом вражає PHP якраз на вихідних

Збільшити

А критичний вразливість в THE PHP програмування мова може бути тривіально експлуатовані має виконувати зловмисний закодований на вікна пристрої, безпеки дослідники попереджений як Вони закликав ті постраждали має брати дію Раніше THE вихідні починається.

в 24 години з THE вразливість І супроводжуючий патч бути опубліковано, дослідники Оскільки THE некомерційний безпеки організації Сервер-привид повідомили інтернет аналізи розроблений має ідентифікувати офіціанти що є чутливий має напади. Цей—комбінований з (1) THE легкість з експлуатація, (2) THE наявність з доказ концепції напад закодований, (3) THE сила тяжіння з на відстані виконання закодований на вразливий машини, І (4) THE широко використовується XAMPP платформа бути вразливий за за замовчуванням: a гість безпеки практиків має спонукати адміністратори перевірити має побачити якщо їх PHP офіціанти є постраждали Раніше відправлення THE вихідні.

Коли "Найкращий Налаштувати" це не воно

"А злий помилка з А дуже простий exploit – ідеально для А П'ятниця вдень," дослідники з безпеки ферма Сторожова вежа написав.

CVE-2024-4577, як THE вразливість схід слідувати, стебла Оскільки Помилки в THE шлях PHP навернені Юнікод персонажів в ASCII. А функціональність побудований в вікна відомий як Найкращий Налаштувати дозволяють нападники має використовувати А технічний відомий як аргумент ін'єкція має пропуск надається користувачем для введення в замовлення виконано за А додаток, в Це випадок, PHP. Подвиги дозволяють нападники має обходить CVE-2012-1823, А критичний закодований виконання вразливість латаний в PHP в 2012 рік.

"Поки виконання PHP, THE команда зробив ні повідомлення THE Найкраще підходить функціональність з кодування перетворення в THE вікна Операційна система", дослідники з Devcore, THE безпеки ферма що виявлено CVE-2024-4577, написав. "Це моніторинг дозволяють неавтентифікований нападники має обходить THE Попередній захисту з CVE-2012-1823 за конкретні характер послідовності. Довільний закодований може бути виконано на дистанційний PHP офіціанти через THE аргумент ін'єкція напад. »

CVE-2024-4577 постраждали PHP тільки Коли він короткий в А мода відомий як CGI, в котрий А Інтернет сервер аналіз HTTP запити І пропуск їх має А PHP сценарій для лікування. Навіть Коли PHP це не воно разом має Комп'ютерна графіка мода, однак, THE вразливість може завжди бути придатний для експлуатації Коли PHP виконувані файли такий як php.exe І php-cgi.exe є в довідники що є доступний за THE Інтернет сервер. Це конфігурація схід разом за за замовчуванням в XAMPP для Вікна, виробництво THE платформа вразливий хіба що він має був змінено.

А наприклад, Сторожова вежа Примітка, відбувається Коли запити є аналіз І надісланий через А порядок подвійний. THE результат: А нешкідливий запит такий як http://host/cgi.php?foo=bar міг би бути перетворений в php.exe cgi.php foo=бар, А порядок що був би бути виконано за THE основний PHP двигун.

Немає Втеча

як багато інший мови, PHP навернені певний види з користувача для введення має запобігти він Оскільки бути перекладач як А порядок для виконання. Це схід А процес відомий як Втеча. для наприклад, в HTML, THE < І > персонажів є часто втік за перетворення їх в їх Юнікод шістнадцятковий значення еквіваленти < І > має запобігти їх Оскільки бути перекладач як HTML Ключові слова за А браузер.

THE Сторожова вежа дослідники продемонструвати як Найкращий Налаштувати не вдалося має Втеча персонажів такий як А м'який дефіс (з Юнікод значення 0xAD) І замість цього навернені він має А не втік регулярний дефіс (0x2D), А характер Це є інструментальний в багато закодований синтаксис.

THE дослідники пішов на має пояснити:

Він повороти поза що, як частина з Юнікод лікування, PHP буде застосувати що це відомий як А 'найкраще налаштувати' картографія, І корисно припустити що, Коли THE користувача між А м'який дефіс, Вони Насправді судилося має...