Ολλανδοί εμπειρογνώμονες ασφάλειας εντόπισαν τυχαία μια επικίνδυνη ευπάθεια PHP-CGI που θα μπορούσε να επιτρέψει σε έναν εισβολέα την εκτέλεση εντολών και την αποκάλυψη του πηγαίου κώδικα.Οι ερευνητές ανακάλυψαν την ευπάθεια ενώ έπαιζαν Nullcon Capture The
Flag (CTF). Διαπίστωσαν ότι παρέχοντας το ερώτημα ‘?-s’, αυτό με κάποιον
τρόπο κατέληγε σε εντολή “-s”, που περνούσε στο php και αποκάλυπτε τον
πηγαίο κώδικα. Ύστερα από περαιτέρω ανάλυση, ανακάλυψαν ότι το σφάλμα υπήρχε από το 2004.Η ευπάθεια έχει ανακαλυφθεί από τον ....Ιανουάριο του 2012 και οι ερευνητές ενημέρωσαν την PHP λίγες μέρες αργότερα. Στις αρχές Φεβρουαρίου, η CERT ενημερώθηκε επίσης για την ύπαρξη του σφάλματος και η εταιρεία ετοιμάζει επιδιόρθωση για αυτό από τότε.
Στις 2 Μαΐου, η CERT είπε στους ερευνητές ότι η PHP χρειάζεται περισσότερο χρόνο για να εξετάσει το θέμα και συμφώνησαν να μην το δημοσιοποιήσουν, αλλά φαίνεται ότι κάποιος κατά λάθος δημοσίευσε τις λεπτομέρειες στο Reddit.
Ύστερα από αυτό, η εταιρεία εξέδωσε την εξής ανακοίνωση:
«We’ve tested this and have confirmed that the query parameters are passed to the php5-cgi binary in this configuration. Since the wrapper script merely passes all the arguments on to the actual php-cgi binary, the same problem exists with configurations where php-cgi is directly copied into the cgi-bin directory. It’s interesting to note that while slashes get added to any shell metacharacters we pass in the query string, spaces and dashes (‘-’) are not escaped. So we can pass as many options to PHP as we want!»
(PHP-CGI advisory CVE-2012-1823 vulnerability).
http://www.secnews.gr