7*24小时服务热线   021-20685566
it-support@shanghaitech.edu.cn

关于Windows版PHP命令注入漏洞(CVE-2024-5585)的风险提示

日期:2024-06-12文章来源:图书信息中心

一、背景介绍

近日,市委网信办技术支撑单位监测到PHP官方发布了一则Windows版本PHP命令注入漏洞CVE-2024-5585的公告,此漏洞是CVE-2024-1874补丁的绕过,目前该漏洞的细节和PoC已在互联网上公开。

1.1漏洞描述

CVE-2024-1874是Windows版本PHP中的一个命令注入漏洞,攻击者可以编写一段PHP恶意代码,在代码中调用proc_open()函数,通过$command参数进行命令注入,然后诱骗安装了Windows版本PHP的用户执行这段代码来利用此漏洞。即使在Windows上启用了bypass_shell选项,也可以通过proc_open()函数的$command参数进行命令注入。

CVE-2024-5585也是Windows版本PHP中的一个命令注入漏洞,其是CVE-2024-1874补丁的绕过。在CVE-2024-1874的PoC的第一个参数的文件名后加一个空格,即可绕过CVE-2024-1874的补丁进行命令注入。

1.2漏洞编号

CVE-2024-5585

1.3漏洞等级

高危

二、修复建议

2.1受影响版本

Windows PHP < 8.1.29

Windows PHP < 8.2.20

Windows PHP < 8.3.8

2.2修复建议:

目前官方已有可更新版本,建议受影响用户参考以下链接升级至最新版本

https://www.php.net/downloads.php