Mitigando ataques contra o php5-cgi

Colaboração: Alexandro Silva

Data de Publicação: 12 de novembro de 2013

O pesquisador Kingcope publicou um exploit para explorar uma falha de manipulação de strings sem o caracter '=' que possibilita a execução de código remoto, presente no arquivo sapi/cgi/cgi_main.c do PHP5 de sistemas Debian e Ubuntu usando o php5-cgi.

As seguintes versões do PHP estão vulneráveis:

  PHP 5.3.10
  PHP 5.3.8-1
  PHP 5.3.6-13
  PHP 5.3.3
  PHP 5.2.17
  PHP 5.2.11
  PHP 5.2.6-3
  PHP 5.2.6+lenny16 with Suhosin-Patch

Para verificar a versão instalada no seu servidor basta digitar o comando dpkg -l php5.

  alexos@debian:~$ dpkg -l php5
  
  Desired=Unknown/Install/Remove/Purge/Hold
  | Status=Not/Inst/Conf-files/Unpacked/halF-conf/Half-inst/trig-aWait/Trig-pend
  |/ Err?=(none)/Reinst-required (Status,Err: uppercase=bad)
  ||/ Name           Version      Architecture Description
  +++-==============-============-============-=================================
  ii  php5       5.5.3+dfsg-1 all        server-side, HTML-embedded script

Proteção

Os times de segurança das distribuições afetadas disponibilizaram informações sobre a vulnerabilidade e os pacotes corrigidos.

• Debian Security
• Ubuntu Security

Como proteção extra criei uma regra para o Ossec HIDS que identifica e bloqueia as tentativas de ataque, basta adicionar as linhas abaixo no arquivo /var/ossec/rules/local_rules.xml. Esta correção foi encaminhada para a equipe de desenvolvimento do Ossec para aprovação.

  <group name="web,appsec,attack">
    <rule id="160001" level="6">
      <if_sid>31100</if_sid>
     <url>/cgi-bin/php</url>
      <regex>"POST /cgi-bin/php</regex>
      <description>php5-cgi exploit
  (http://www.exploit-db.com/exploits/29290/).</description>
  </rule>
  </group>

Referências

• Apache / PHP 5.x Remote Code Execution Exploit
• CVE-2012-1823