Lỗ hổng mới khiến các máy chủ Windows có nguy cơ bị tấn công

Lỗ hổng có định danh CVE-2024-4577, được mô tả là một lỗi CGI argument injection, ảnh hưởng đến tất cả các phiên bản PHP được cài đặt trên hệ điều hành Windows.

Theo nhà nghiên cứu bảo mật DEVCORE, lỗi này có thể cho phép vượt qua các biện pháp bảo vệ được áp dụng cho một lỗ hổng khác, CVE-2012-1823. Nhà nghiên cứu Orange Tsai cho biết: “Trong khi triển khai PHP, nhóm đã không nhận thấy tính năng Best-Fit của chuyển đổi mã hóa trong hệ điều hành Windows”.

"Điều này cho phép những kẻ tấn công không cần xác thực vượt qua lớp bảo vệ trước đó của CVE-2012-1823 bằng một số chuỗi ký tự và có thể dẫn đến việc thực thi mã tùy ý trên các máy chủ PHP thông qua cuộc tấn công chèn đối số (argument injection)".

Sau khi được báo cáo vào ngày 7 tháng 5 năm 2024, bản vá cho lỗ hổng này đã được cung cấp trong các phiên bản PHP 8.3.8, 8.2.20, và 8.1.29.

DEVCORE lưu ý rằng tất cả các phiên bản cài đặt XAMPP trên Windows đều chứa lỗ hổng theo mặc định khi được định cấu hình để sử dụng ngôn ngữ cho tiếng Trung phồn thể, tiếng Trung giản thể hoặc tiếng Nhật.

Các quản trị viên được khuyến nghị nên loại bỏ hoàn toàn PHP CGI lỗi thời và thay thế bằng các giải pháp an toàn hơn như Mod-PHP, FastCGI hoặc PHP-FPM.

Shadowserver Foundation cho biết họ đã phát hiện các hoạt động khai thác liên quan đến lỗ hổng đối với các máy chủ honeypot của mình trong vòng 24 giờ kể từ khi thông tin lỗ hổng được tiết lộ công khai.

watchTowr Labs cho biết họ đã có thể tạo ra mã khai thác cho CVE-2024-4577 và thực thi mã từ xa, khiến người dùng buộc phải nhanh chóng áp dụng các bản vá mới nhất.

Để giảm thiểu các nguy cơ tiềm ẩn, người dùng nên thường xuyên theo dõi bản tin bảo mật từ nhà cung cấp cho các sản phẩm đang sử dụng và áp dụng các bản vá bảo mật ngay khi chúng có sẵn hoặc triển khai các biện pháp giảm thiểu khác trong trường hợp chưa thể cập nhật bản vá.