PHP bis 5.3.12/5.4.2 sapi/cgi/cgi_main.c $_SERVER['QUERY

VulDB: PHP bis 5.3.12/5.4.2 sapi/cgi/cgi_main.c $_SERVER['QUERY_STRING'] erweiterte Rechte

Allgemein

scipID: 5319
Betroffen: PHP bis 5.3.12/5.4.2
Veröffentlicht: 03.05.2012 (De Eindbazen)
Risiko: sehr kritisch
Eintrag: 100% komplett
Erstellt: 04.05.2012
Aktualisiert: 31.05.2013

Beschreibung

Es wurde eine Schwachstelle in PHP bis 5.3.12/5.4.2, ein Programmiersprache, entdeckt. Sie wurde als sehr kritisch eingestuft. Betroffen hiervon ist eine unbekannte Funktion der Datei _sapi/cgi/cgi_main.c_. Mit Manipulation des Arguments $_SERVER['QUERY_STRING'] mit der Eingabe -s kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Hiermit kann man Programmcode ausführen. Auswirken tut sich dies auf Vertraulichkeit, Integrität und Verfügbarkeit.

Entdeckt wurde der Fehler am 13.01.2012. Die Schwachstelle wurde am 03.05.2012 durch De Eindbazen in Form eines Blog Posts publiziert. Das Advisory kann von eindbazen.net heruntergeladen werden. Die Herausgabe passierte in Zusammenarbeit mit dem Projektteam. Die Identifikation der Schwachstelle wird seit dem 21.03.2012 mit CVE-2012-1823 vorgenommen. Die Schwachstelle ist relativ beliebt, was mitunter auf ihre geringe Komplexität zurückzuführen ist. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind technische Details sowie ein öffentlicher Exploit zur Schwachstelle bekannt. Die Ausprägung dieser Schwachstelle führt zu einem gewissen historischen Interesse an ihr.

Ein öffentlicher Exploit wurde durch metasploit (rayh4c) in C programmiert und 1 Tage nach dem Advisory veröffentlicht. Er wird als Proof-of-Concept gehandelt und gilt gemeinhin als sehr zuverlässig. Unter exploit-db.com wird der Exploit zum Download angeboten. Vor einer Veröffentlichung handelte es sich 111 Tage um eine Zero-Day Schwachstelle. Für den Vulnerability Scanner Nessus wurde am 07.05.2012 ein Plugin mit der ID 59016 (USN-1437-1 : php5 vulnerability) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Ubuntu Local Security Checks zugeordnet und im Kontext local ausgeführt.

Ein Aktualisieren auf die Version 5.4.2 oder 5.3.12 [first official Patch not working!] vermag dieses Problem zu lösen. Die Schwachstelle lässt sich auch durch das Einspielen des Patches CVE-2012-1823-mitigation.tar.gz (inofficial Patch) lösen. Dieser kann von eindbazen.net bezogen werden. Die Schwachstelle kann zusätzlich durch das Filtern von tcp/80 (Web Services) mittels Firewalling mitigiert werden. Das Problem kann ebenfalls durch den Einsatz von FastCGI & ASP als alternatives Produkt mitigiert werden. Als bestmögliche Massnahme wird das Upgrade auf eine neue Version empfohlen. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Die Entwickler haben sofort gehandelt. Mitunter wird der Fehler auch in den Datenbanken von OSVDB (81633), Secunia (SA49014) und SecurityTracker (ID 1027022) dokumentiert. Das Nachrichtenportal Heise veröffentlichte ebenfalls einen Artikel hierzu.

Screenshot

PHP bis 5.3.12/5.4.2 sapi/cgi/cgi_main.c $_SERVER['QUERY_STRING'] erweiterte Rechte

Video

CVSS

Base Score: 7.5 (CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P) [?]

Access Vector	Access Complexity	Authentication	Confidentiality	Integrity	Availability
Local	High	Multiple	None	None	None
Adjacent	Medium	Single	Partial	Partial	Partial
Network	Low	None	Complete	Complete	Complete

CPE

cpe:/a:php:php:5.3.12
cpe:/a:php:php:5.4.2

Exploiting

Klasse: Erweiterte Rechte
Auswirkungen: Programmcode ausführen
Lokal: Nein
Remote: Ja

Verfügbarkeit: Ja
Zugang: öffentlich
Status: Proof-of-Concept
Zuverlässigkeit: 90%
Programmiersprache: C
Autor: metasploit (rayh4c)
Download: exploit-db.com

Nessus ID: 59016
Nessus Name: USN-1437-1 : php5 vulnerability
Nessus Family: Ubuntu Local Security Checks
Nessus Context: local

Exploit-DB: 18834

Gegenmassnahmen

Empfehlung: Upgrade
Reaction Time: 107 Tage seit gemeldet
0-Day Time: 111 Tage seit gefunden
Exposure Time: 0 Tage seit bekannt
Exploit Delay Time: 1 Tage seit bekannt

Upgrade: PHP 5.4.2/5.3.12 [first official Patch not working!]
Patch: CVE-2012-1823-mitigation.tar.gz
Firewalling: tcp/80 (Web Services)
Alternative: FastCGI & ASP