【漏洞通告】PHP CGI Windows平台远程代码执行漏洞(CVE-2024-4577)

01 漏洞概况

PHP语言在设计时忽略了Windows对字符编码转换的 Best-Fit 特性，导致未授权的攻击者可以通过特定字符串绕过 CVE-2012-1823 补丁，执行任意PHP代码，导致服务器失陷。

02 漏洞处置

综合处置优先级：高

漏洞信息	漏洞名称	PHP CGI Windows平台远程代码执行漏洞
漏洞编号	CVE编号	CVE-2024-4577‍
漏洞评估	披露时间	2024-06-06
	漏洞类型	代码注入
	危害评级	严重
	公开程度	PoC已公开
	威胁类型	远程
利用情报	在野利用	是
影响产品	产品名称	PHP
	受影响版本	PHP8.3 < 8.3.8,PHP8.2 < 8.2.20,PHP8.1 < 8.1.29
	影响范围	广
	有无修复补丁	有

03 漏洞排查

      用户自行排查使用PHP是否属于PHP8.3 < 8.3.8,PHP8.2 < 8.2.20,PHP8.1 < 8.1.29范围内，若属于极可能存在安全风险。

04 修复方案

将PHP升级到官方最新版本 8.3.8、8.2.20和8.1.29。下载链接：https://www.php.net/downloads.php

缓解方案：

1.不方便更新版本的Windows用户，建议暂时关闭php-cgi的使用。

2.以下重写规则可用于阻止攻击。需要注意的是，这些规则仅对繁体中文、简体中文和日语语言环境起到临时缓解作用。在实际操作中，仍然建议更新到补丁版本或迁移架构。RewriteEngine OnRewriteCond %{QUERY_STRING} ^%ad [NC]RewriteRule .? - [F,L]

3. 对于使用 XAMPP for Windows 的用户：如果确认不需要 PHP CGI 功能，可以通过修改以下 Apache HTTP Server 配置来避免受到该漏洞的影响：C:/xampp/apache/conf/extra/httpd-xampp.conf找到相应的行：ScriptAlias /php-cgi/ "C:/xampp/php/"并将其注释掉：# ScriptAlias /php-cgi/ "C:/xampp/php/"

05 时间线

‍ 2024.06.06 厂商发布安全补丁

      2024.06.13 安迈信科安全运营团队发布通告‍