CGI版PHPにリモートからスクリプト実行を許す脆弱性(CVE-2012-1823)

CGI環境でPHPを動作させているサイトには、リモートからスクリプト実行を許してしまう脆弱性があります。php.netから提供されている修正リリース(PHP 5.3.12 / PHP 5.4.2)は不完全なため、該当するサイトは至急回避策を導入することを推奨します。 概要 CGIの仕様として、クエリ文字列に等号を含めない場合は、クエリ文字列がCGIスクリプトのコマンドライン引数として指定されます。 例えば、http://example.jp/test.cgi?foo+bar+bazという呼び出しに対しては、test.cgiは以下のコマンドラインで呼び出されます。 test.cgi foo bar baz この仕様を悪用して、CGI版のPHPにコマンドライン引数としてPHPのオプションを指定できます。例えば、http://example.jp/test.php?-s というリクエストは、-s

[matsumoto_r]

これまたやっかいな脆弱性だなぁ。しかもphpのcgi版だと使ってる所多そうだし

[mujin]

こりゃまたえげつない脆弱性やのう。ちょいとひなびた感じのレンタルスペースだと未だにcgiのところも結構あるはず。そういうところはユーザも放置気味だったりするので業者側で対応したほうがいいのでは。

[rryu]

なんというか、マニュアルにある「CGI バイナリとして実行された場合、PHP は、コマンドライン引数の 解釈を拒否します」というのがいつの間にか嘘になってたという話で、危険性自体は認識されていたという。

[MinazukiBakera]

「CGI版PHPにリモートからスクリプト実行を許す脆弱性」。CGI版PHP自体めったにないとは思いますが、攻撃は簡単お手軽かつ効果大なので要注意。

[nna774]

このへんでは

[uzulla]

PHPをcgiで動作させている環境は「俺の保守してるサーバーには」ないからいいけど、こわいなー。これは影響範囲でかすぎ。しらんかった。

[kfujii]

ぶほーｗ　レンタルサーバだとCGIモードのところ結構あるんじゃ

[stealthinu]

この脆弱性ってphp4.xには関係ないのかな？実験してみたけど見えて来なかったので。なんで今時4の話？というツッコミはなしにしてください…／4は大丈夫。5.1の途中から？

[route21pcm]

うひゃー！ＣＧＩモードで動くPHPスクリプトに、こんな簡単で影響のある脆弱性が今まで放置されてたなんで・・・ｗ

[secfyi]

PHPの脆弱性の実証例。CGIとしてPHPを使ってたら大変なことになる。

[burnworks]

CGI版のPHPにコマンドライン引数としてPHPのオプションを指定可能 / 外部からスクリプト実行可能で、機密性・完全性・可用性の全てで大きな影響あり / PHPをCGIとして実行しているサイトに影響

[jiskay]

FastCGIは大丈夫らしい。しかしちゃんと動向しらべないと。

[kuippa]

value-domain系のwp、確かcgiモードだったかなと確認したら、.hataccessでAddHandlerだった。

[mumincacao]

CGI 版 PHP って影響範囲がすごいことになるかと思ったけど FastCGI はせーふならそこまで大変ではなさそう・・・かなぁ？ とりあえず一通り確認だけはしないとなのです．．．〆（・ｘ【みかん

[at_yasu]

CGI版PHPのみ。Apacheモジュールの時やfast-cgi利用時は影響なし。

[kussun]

こんなカンタンな方法でソース丸見えとか恐ろしいな。

[hukuchosan]

FastCGIでは大丈夫。

[takatoshiono]

これは危険

[t-murachi]

そも PHP を CGI で動かすって言う発想がなかった>ヲレ。

[jdg]

これやばいなー。

[shin1x1]

CGI版を使っているならすぐに対策を！

[hiboma]

付随する変更点が多いので 暫定的に mod_security で潰す設定いれてもらっています

[gikazigo]

CGI版PHPにリモートからスクリプト実行を許す脆弱性(CVE-2012-1823) | 徳丸浩の日記

[n2s]

CVE-2012-1823

[uedahiroyoshi]

かなり深刻な問題だけどPHPをCGI実行している環境は少なそう。

[ockeghem]

日記書いた