PHP bis 5.3.12/5.4.2 sapi/cgi/cgi_main.c $_SERVER['QUERY_STRING'] erweiterte Rechte

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
8.9$0-$5k0.00

Zusammenfassunginfo

Eine Schwachstelle, die als sehr kritisch eingestuft wurde, wurde in PHP bis 5.3.12/5.4.2 gefunden. Es geht um eine nicht näher bekannte Funktion der Datei sapi/cgi/cgi_main.c. Dank der Manipulation des Arguments $_SERVER['QUERY_STRING'] mit der Eingabe -s mit unbekannten Daten kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Die Verwundbarkeit wird unter CVE-2012-1823 geführt. Der Angriff kann über das Netzwerk angegangen werden. Desweiteren ist ein Exploit verfügbar. Aufgrund ihres Kontexts und der Resonanz hat diese Schwachstelle eine historische Auswirkung. Als bestmögliche Massnahme wird das Einspielen eines Upgrades empfohlen.

Detailsinfo

Es wurde eine Schwachstelle in PHP bis 5.3.12/5.4.2 (Programming Language Software) entdeckt. Sie wurde als sehr kritisch eingestuft. Betroffen hiervon ist ein unbekannter Ablauf der Datei sapi/cgi/cgi_main.c. Mittels Manipulieren des Arguments $_SERVER['QUERY_STRING'] mit der Eingabe -s kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-77 vorgenommen. Auswirken tut sich dies auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:

sapi/cgi/cgi_main.c in PHP before 5.3.12 and 5.4.x before 5.4.2, when configured as a CGI script (aka php-cgi), does not properly handle query strings that lack an = (equals sign) character, which allows remote attackers to execute arbitrary code by placing command-line options in the query string, related to lack of skipping a certain php_getopt for the 'd' case.

Die Entdeckung des Problems geschah am 13.01.2012. Die Schwachstelle wurde am 03.05.2012 durch De Eindbazen in Form eines bestätigten Blog Posts (Website) publiziert. Das Advisory findet sich auf eindbazen.net. Die Herausgabe passierte in Zusammenarbeit mit dem Projektteam. Die Identifikation der Schwachstelle wird seit dem 21.03.2012 mit CVE-2012-1823 vorgenommen. Die Schwachstelle ist relativ beliebt, was unter anderem auf ihre geringe Komplexität zurückzuführen ist. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind technische Details sowie ein öffentlicher Exploit zur Schwachstelle bekannt. Die Beschaffenheit der Schwachstelle lässt vermuten, dass ein Exploit momentan zu etwa USD $0-$5k gehandelt werden wird (Preisberechnung vom 22.04.2026). Diese Schwachstelle wird durch das MITRE ATT&CK als Angriffstechnik T1202 bezeichnet. Die Ausprägung dieser Schwachstelle führt zu einem gewissen historischen Interesse an ihr.

Ein öffentlicher Exploit wurde durch metasploit (rayh4c) in C programmiert und 1 Tage nach dem Advisory veröffentlicht. Unter exploit-db.com wird der Exploit zum Download angeboten. Er wird als attackiert gehandelt und gilt gemeinhin als sehr zuverlässig. Vor einer Veröffentlichung handelte es sich 111 Tage um eine Zero-Day Schwachstelle. Während dieser Zeit erzielte er wohl etwa $25k-$100k auf dem Schwarzmarkt. Für den Vulnerability Scanner Nessus wurde am 13.06.2014 ein Plugin mit der ID 74630 (openSUSE Security Update : php5 (openSUSE-2012-288)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family SuSE Local Security Checks zugeordnet und im Kontext l ausgeführt. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 185005 (HP-UX Apache Web Server Running PHP Denial of Service Vulenrability (HPSBUX02791)) zur Prüfung der Schwachstelle an.

Ein Aktualisieren auf die Version 5.4.2 oder 5.3.12 [first official Patch not working!] vermag dieses Problem zu lösen. Die Schwachstelle lässt sich auch durch das Einspielen des Patches CVE-2012-1823-mitigation.tar.gz (inofficial Patch) lösen. Dieser kann von eindbazen.net bezogen werden. Die Schwachstelle kann zusätzlich durch das Filtern von tcp/80 (Web Services) mittels Firewalling mitigiert werden. Das Problem kann ebenfalls durch den Einsatz von FastCGI & ASP als alternatives Produkt mitigiert werden. Als bestmögliche Massnahme wird das Upgrade auf eine neue Version empfohlen. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Die Entwickler haben nachweislich sofort gehandelt. Angriffe können durch Snort ID 22063 erkannt werden.

Unter anderem wird der Fehler auch in den Datenbanken von Exploit-DB (18834), Tenable (74630), OSVDB (81633†), Secunia (SA49014†) und SecurityTracker (ID 1027022†) dokumentiert. Das Nachrichtenportal Heise veröffentlichte ebenfalls einen Artikel hierzu. Weitere Informationen werden unter kb.cert.org bereitgestellt. Von weiterem Interesse können die folgenden Einträge sein: VDB-4600, VDB-9012, VDB-60825 und VDB-60732. Be aware that VulDB is the high quality source for vulnerability data.

Produktinfo

Typ

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

Screenshot

Video

Öffne Video | Zeige mehr Videos

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 9.0
VulDB Meta Temp Score: 8.9

VulDB Base Score: 7.3
VulDB Temp Score: 7.0
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 9.8
NVD Vector: 🔍

ADP CISA Base Score: 9.8
ADP CISA Vector: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Erweiterte Rechte
CWE: CWE-77 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Attackiert
Autor: metasploit (rayh4c)
Zuverlässigkeit: 🔍
Programmiersprache: 🔍
Download: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

KEV Hinzugefügt: 🔍
KEV Bis wann: 🔍
KEV Massnahmen: 🔍
KEV Ransomware: 🔍
KEV Hinweis: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 74630
Nessus Name: openSUSE Security Update : php5 (openSUSE-2012-288)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍
Nessus Port: 🔍

OpenVAS ID: 71344
OpenVAS Name: Debian Security Advisory DSA 2465-1 (php5)
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Saint ID: exploit_info/php_cgi_arg_rce
Saint Name: PHP CGI Query String Parameters Command Execution

Qualys ID: 🔍
Qualys Name: 🔍

MetaSploit ID: php_cgi_arg_injection.rb
MetaSploit Name: PHP CGI Argument Injection
MetaSploit Datei: 🔍

Exploit-DB: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍
Exploit Delay Time: 🔍

Upgrade: PHP 5.4.2/5.3.12 [first official Patch not working!]
Patch: CVE-2012-1823-mitigation.tar.gz (inofficial Patch)
Firewalling: 🔍
Alternative: FastCGI & ASP

Snort ID: 22063
Snort Message: SERVER-WEBAPP PHP-CGI remote file include attempt
Snort Klasse: 🔍

Suricata ID: 2014704
Suricata Klasse: 🔍
Suricata Message: 🔍

Timelineinfo

13.01.2012 🔍
17.01.2012 +4 Tage 🔍
21.03.2012 +64 Tage 🔍
03.05.2012 +43 Tage 🔍
03.05.2012 +0 Tage 🔍
04.05.2012 +1 Tage 🔍
04.05.2012 +0 Tage 🔍
04.05.2012 +0 Tage 🔍
04.05.2012 +0 Tage 🔍
11.05.2012 +7 Tage 🔍
13.06.2014 +763 Tage 🔍
22.04.2026 +4331 Tage 🔍

Quelleninfo

Produkt: php.org

Advisory: eindbazen.net
Person: De Eindbazen
Status: Bestätigt
Bestätigung: 🔍
Koordiniert: 🔍

CVE: CVE-2012-1823 (🔍)
GCVE (CVE): GCVE-0-2012-1823
GCVE (VulDB): GCVE-100-5319

OVAL: 🔍

CERT: 🔍
Secunia: 49014
OSVDB: 81633 - CVE-2012-1823 - PHP - Code Execution Issue
SecurityTracker: 1027022

Heise: 1567433
scip Labs: https://www.scip.ch/?labs.20161013
Diverses: 🔍
Siehe auch: 🔍

Eintraginfo

Erstellt: 04.05.2012 12:16
Aktualisierung: 22.04.2026 10:41
Anpassungen: 04.05.2012 12:16 (117), 30.07.2019 18:59 (1), 24.04.2024 08:29 (29), 10.06.2024 20:46 (1), 16.07.2024 22:47 (11), 09.09.2024 22:29 (1), 24.12.2024 02:17 (1), 06.01.2025 21:33 (1), 04.11.2025 20:23 (1), 22.04.2026 10:41 (11)
Komplett: 🔍
Cache ID: 216::103

Be aware that VulDB is the high quality source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you need the next level of professionalism?

Upgrade your account now!