Detecção CVE-2024-4577: Uma Nova Vulnerabilidade em PHP Fácil de Explorar Pode Levar a RCE

Logo após a divulgação da CVE-2024-29849 e seu lançamento PoC, outra falha de segurança está criando um burburinho no cenário de ameaças cibernéticas. A exploração bem-sucedida da CVE-2024-4577, que afeta servidores PHP baseados em Windows, pode levar a RCE. O bug de segurança é uma vulnerabilidade de injeção de argumentos CGI que afeta todas as versões do PHP no sistema operacional Windows e todas as instalações do XAMPP por padrão.

Detectar Tentativas de Exploração da CVE-2024-4577

Com o cibercrime agora uma das principais causas de interrupções nos negócios, a Detecção Proativa de Vulnerabilidades é mais importante do que nunca. No último ano, 30.000 vulnerabilidades foram adotadas para ataques no mundo real.

Para lidar com a avalanche de ameaças emergentes, incluindo possíveis explorações da recém-identificada falha crítica no PHP (CVE-2024-4577), os pesquisadores de segurança precisam de acesso instantâneo a regras de detecção curadas, consultas de caça e coleções de IOC agrupadas com CTI acionável e soluções inteligentes de detecção de ameaças. Plataforma SOC Prime para defesa cibernética coletiva agrega uma regra dedicada abordando tentativas de exploração da CVE-2024-4577. A detecção abaixo é enriquecida com CTI acionável, alinhada com o framework MITRE ATT&CK® e compatível com mais de 30 soluções de SIEM, EDR e Data Lake.

Possível Tentativa de Exploração da CVE-2024-4577 (Execução Remota de Código PHP) (via servidor web)

Além disso, clique no Explorar Detecções botão abaixo e acesse conteúdo de detecção abrangente enriquecido com CTI para proteger sua organização contra a exploração de vulnerabilidades, incluindo ameaças mais recentes e existentes.

Explorar Detecções

Análise da CVE-2024-4577

Os defensores recentemente descobriram uma nova vulnerabilidade no PHP rastreada como CVE-2024-4577. A exploração bem-sucedida da falha identificada expõe todos os servidores Windows a potenciais ataques RCE. No entanto, de acordo com a pesquisa do watchTowr Labs, o bug só foi explorado em instalações de PHP baseadas em Windows, especificamente quando o PHP é usado no modo CGI em certas localidades específicas, incluindo chinês e japonês.

Pesquisadores de cibersegurança da DEVCORE relatam que a CVE-2024-4577 permite contornar a proteção de segurança estabelecida para outra falha, a CVE-2012-1823. Como resultado, atacantes não autenticados são capazes de contornar as proteções da CVE-2012-1823 usando sequências de caracteres específicas, permitindo a execução arbitrária de código em servidores PHP remotos via injeção de argumentos. A DEVCORE também alertou que todas as instalações de XAMPP no Windows são inerentemente vulneráveis caso estejam configuradas para usar as localidades mencionadas acima.

Após a divulgação da CVE-2024-4577, as versões do PHP 8.3.8, 8.2.20, e 8.1.29 foram instantaneamente corrigidas para resolver a vulnerabilidade fácil de explorar. Como medidas de mitigação potenciais para a CVE-2024-4577, os defensores recomendam fortemente a atualização rápida para as versões corrigidas. Além disso, é altamente recomendável que os administradores migrem do desatualizado PHP CGI para uma solução mais segura como Mod-PHP, FastCGI ou PHP-FPM para minimizar os riscos de exploração de vulnerabilidades. Para usuários que utilizam XAMPP para Windows ou aqueles que não podem atualizar o PHP, o aviso de segurança correspondente fornece diretrizes adicionais de mitigação da CVE-2024-4577.

Devido à baixa complexidade de exploração e ao código de exploração PoC para a CVE-2024-4577 disponível publicamente no GitHub, a CVE-2024-4577 apresenta riscos graves de ser ativamente explorada em ataques em ambientes reais, o que requer ultra-responsividade de defensores e aumento na conscientização em cibersegurança. Apoie-se na suite completa de produtos da SOC Prime para Engenharia de Detecção com IA, Caça Automática a Ameaças & Validação da Pilha de Detecção para identificar e resolver tempestivamente pontos cegos na defesa cibernética, caçar proativamente ameaças emergentes e priorizar esforços de detecção, garantindo que você esteja um passo à frente dos atacantes.