PHP2Shell: cursă de patching de urgență pentru echipele de securitate

Cum funcționează defectele?

Defectele provin din date interne vechi care supraviețuiesc după eliberarea memoriei. O cerere ulterioară, procesată de același worker, poate exploata aceste rămășițe.

Astfel, atacatorii preiau controlul serverului fără autentificare. Accesul de rețea la server este suficient; nu e nevoie de cont sau acces prealabil.

Organizațiile ar trebui să actualizeze serverele afectate la PHP 8.5.12, 8.4.27, 8.3.36 sau 8.2.35.

Ce trebuie făcut acum?

Deoarece versiunile 8.2 până la 8.5 sunt oficial susținute, versiunile mai vechi nu au patchuri disponibile. Organizațiile trebuie fie să se actualizeze la o ramură susținută, fie să aplice o corecție backport. Consiliul de Securitate PHP recomandă că, deși actualizarea e soluția completă, organizațiile pot lua anumite acțiuni pentru a reduce expunerea până la aplicarea patch-ului.

Menținătorii PHP au anunțat inițial o eliberare de urgență programată pentru miercuri la 14:00 UTC, în concordanță cu o dezvălire coordonată. Totuși, embargo-ul a fost spart.

Un instrument de demonstrație numit PHP2 Shell a apărut public, iar WatchTowr a susținut că a reprodus cu succes ambele vulnerabilități.

John Hammond, cercetător senior de securitate la Huntress, a spus pentru Dark Reading că scurgerea a avut un aspect pozitiv: a împins apărătorii să facă inventar al sistemelor, să pregătească mitigații și să fie gata să aplice patch-uri mai devreme. Pe de altă parte, același avertisment timpuri a fost disponibil și pentru atacatori, care fără îndoială au folosit IA și LLM-uri pentru a găsi vulnerabilități, a identifica ținte și a începe a dezvolta sau adapta exploate, adaugă Hammond.

Embargo spart!

Nu e un risc teoretic; WatchTowr a raportat că a observat încercări de exploatare pentru ambele defecte în lume reală.

Jake Knott, șef de inteligență de amenințări la WatchTowr, a spus pentru Dark Reading că, deși nimeni nu le-a exploatat încă cu succes, compania nu se așteaptă ca această situație să dureze mult.

Compania a subliniat că potențialul de exploatare e larg peste toate instalările vulnerabile de PHP. Echipele de securitate sunt sfătuite să prioritarizeze serverele expuse la internet care rulează PHP ca modul Apache, deoarece Fundația PHP a evidențiat această configurație ca având cel mai mare risc.

Exploatare în lume reală!

Orice instalare de PHP care servește cereri web e în scop, inclusiv PHP-FPM, Apache mod_php, php-cgi, FrankenPHP și LiteSpeed. PHP afirmă că riscul e cel mai mare pe mod_php, unde un atac poate reuși înainte ca orice cod de aplicație să ruleze. Încărcarea sesiunii, o funcție activată implicit, oferă o cale confirmată către problema, ceea ce înseamnă că majoritatea implementărilor implicite îndeplinesc acea precondiție.

PHP este o limbaj de programare comun, larg susținut, care rulează pe servere din toată lumea și e folosit pentru dezvoltare web. Scopul organizațiilor care folosesc PHP acoperă întregul internet, de la întreprinderi și afaceri mici până la infrastructură critică și municipalități.

Multe organizații, precum Centrul Național Olandez de Securitate Cibernetică (NCSC), au scos site-urile și serviciile offline pentru a limita expunerea și/sau a facilita patching de urgență.

Impact larg!

Rețelele Inteligenței Federate Independente, un grup non-profit de inteligență cibernetică, au avertit într-un post pe Mastodon: Dacă puteți ajunge la persoane din școli locale, guverne, organizații neguvernamentale și alte servicii pentru a le averti despre vulnerabilitățile PHP, vă rugăm să faceți asta. Aceste locații adesea lipsesc de personal de securitate dedicat și aproape sigur au active PHP expuse.

Într-un post pe blog, Hammond de la Huntress a recomandat a face inventar al tuturor instalărilor de PHP, a identifica instalările de PHP la sfârșitul vieții și a alerta când procesele worker ale PHP pornesc shell-uri, interpretoare sau instrumente de descărcare.

Deși scurgerea a creat haos, menținătorii PHP au acționat rapid pentru a da organizațiilor timp să reacționeze la aceste două vulnerabilități complexe. Patrick Münch, șef de securitate la Mondoo, a lăudat reacția Fundației PHP.

Totuși, se îngrijorează de resursele organizațiilor open-source, care adesea fac acest lucru pe bază de voluntari. Cred că echipa PHP a gestionat situația bine.

Reacția comunității?

Au avertit oamenii cu o zi înainte, distribuțiile Linux au primit patch-uri devreme și au scris chiar corecții backport pentru versiunile mai vechi pe care nu le mai susțin.

Multe companii comerciale n-ar face asta, zice el. Lucrurile devin mai grele după php. net. PHP e împachetat și livrat de distribuții, companii de hosting și furnizori de software, iar mulți dintre ei sunt voluntari sau echipe foarte mici.

Într-adevăr, defectele PHP2 Shell evocă vulnerabilitatea Log4 Shell în Log4j 2, care acum aproape cinci ani a forțat industria de securitate să se unească pentru a corecta colectiv un defect major într-un proiect open-source popular.