Sicherheitslücke in PHP: bypass_shell - Bypass

Am 9. Juni 2024 wurde eine gravierende Sicherheitslücke in PHP bekannt, die die Umgehung der bypass_shell-Option ermöglicht. Diese Schwachstelle, katalogisiert unter CVE-2024-1874, betrifft PHP-Versionen bis 8.3.6, 8.1.28, 8.2.19 und hat die Sicherheitsstufe „hoch“ mit einem CVSS-Wert von 7,7.

Die Schwachstelle wird durch eine unsachgemäße Handhabung von Kommandozeilenargumenten in Windows-Systemen verursacht. Angreifer können speziell präparierte Argumente nutzen, um beliebige Befehle auszuführen, selbst wenn die bypass_shell-Option aktiviert ist. Diese Sicherheitslücke kann durch das Hinzufügen eines Leerzeichens am Ende des Dateinamens ausgenutzt werden.

Ein Proof of Concept (PoC) verdeutlicht die Gefährdung: Eine .bat-Datei mit einem harmlosen Befehl wie echo hello wird zusammen mit einem PHP-Skript verwendet. Das PHP-Skript, welches den Dateinamen mit einem angehängten Leerzeichen verarbeitet, führt unbeabsichtigt zusätzliche Befehle aus, wie das Öffnen von Notepad. Dies verdeutlicht, wie leicht externe Anwendungen über diese Lücke gestartet werden können.

Um die Lücke auszunutzen, reicht es aus, eine Datei mit einem Leerzeichen am Ende des Namens als Argument zu übergeben. Das folgende PHP-Skript illustriert dies:

<?php
$descriptorspec = [STDIN, STDOUT, STDOUT];
$proc = proc_open(["test.bat ", "\"&notepad.exe"], $descriptorspec, $pipes, null, null, array("bypass_shell" => true));
proc_close($proc);
?>

Durch das Ausführen dieses Skripts öffnet sich trotz der bypass_shell-Einstellung unerwartet Notepad, was zeigt, dass die bypass_shell-Option umgangen werden kann.

Anwender und Administratoren sollten umgehend ihre PHP-Installationen auf eine der genannten gepatchten Versionen aktualisieren. Des Weiteren wird empfohlen, die Nutzung von Kommandozeilenargumenten in sensiblen Anwendungen sorgfältig zu überprüfen und gegebenenfalls zusätzliche Sicherheitsmaßnahmen zu implementieren, um ähnliche Probleme zu verhindern.