PHP verhelpt kritiek beveiligingslek in Windows-versie
PHP heeft updates uitgebracht om een kritieke kwetsbaarheid (CVE-2024-4577) in de Windows-versie te verhelpen. Deze kwetsbaarheid stelt kwaadwillenden in staat om remote code execution (RCE) uit te voeren op de onderliggende server. Een ongeautoriseerde aanvaller kan willekeurige code uitvoeren op servers die PHP in CGI-modus draaien en ingesteld zijn op de Chinese of Japanse taal. Orange Tsai, een beveiligingsonderzoeker die deze kwetsbaarheid ontdekte, waarschuwt dat ook Windows-systemen met andere taalinstellingen kwetsbaar kunnen zijn. Daarom wordt organisaties dringend aangeraden om zo snel mogelijk te updaten naar de nieuwste versie van PHP.
In 2012 werd een kwetsbaarheid (CVE-2012-1823) in PHP ontdekt die het mogelijk maakte om willekeurige code uit te voeren. Hoewel het probleem werd gepatcht, kunnen bepaalde 'character sequences' door een functie van Windows voor karakterconversie de patch omzeilen, waardoor opnieuw code op de server kan worden uitgevoerd. Deze kwetsbaarheid werd op 7 mei gemeld aan het PHP-ontwikkelteam. Gisteren zijn de versies PHP 8.3.8, 8.2.20 en 8.1.29 uitgebracht, waarin het probleem is verholpen.
Orange Tsai heeft geen exacte details vrijgegeven over hoe remote code execution mogelijk is. Onderzoekers van het beveiligingsbedrijf Watchtower hebben echter een publicatie uitgebracht hoe het lek valt te misbruiken. Ze waarschuwen dat misbruik waarschijnlijk is vanwege de eenvoud van de exploit. De Shadowserver Foundation meldt dat proof-of-concept exploitcode openbaar beschikbaar is en dat er inmiddels tests zijn waargenomen tegen hun honeypotservers.
Gerelateerde nieuwsberichten
28/02/2024 LockBit website door politie gekraakt via mogelijk lek in PHP
08/05/2023 PHPhulp verhuisd
21/04/2023 Bug opgelost met traagheid PHPhulp
Om te reageren heb je een account nodig en je moet ingelogd zijn.