Cảnh báo lỗ hổng CVE-2024-4577 trong PHP

Thông tin về lỗ hổng

CVE-2024-4577 là một lỗ hổng bảo mật nghiêm trọng trong PHP. Lỗ hổng này xảy ra khi sử dụng Apache và PHP-CGI trên hệ điều hành Windows, nếu hệ thống được cấu hình để sử dụng một số bảng mã (code pages) nhất định. Khi đó, Windows có thể sử dụng cơ chế “Best-Fit” để thay thế các ký tự trong dòng lệnh được truyền tới các hàm Win32 API. Điều này có thể làm cho mô-đun PHP-CGI hiểu sai các ký tự này như là các tùy chọn của PHP.

Lỗ hổng này có thể cho phép một kẻ tấn công thực hiện các hành động sau:

Tiết lộ mã nguồn của các tập lệnh PHP.
Thực thi mã PHP tùy ý trên máy chủ.

Điểm CVSS 
9.8

Ảnh hưởng

Lỗ hổng này ảnh hưởng đến các phiên bản sau:
PHP 8.1.* trước phiên bản 8.1.29
PHP 8.2.* trước phiên bản 8.2.20
PHP 8.3.* trước phiên bản 8.3.8

Khuyến nghị khắc phục

Nhằm đảm bảo an toàn thông tin cho hệ thống thông tin của đơn vị, góp phần đảm bảo an toàn cho không gian mạng Việt Nam, Trung tâm VNCERT/CC khuyến nghị người dùng cần cập nhật PHP lên các phiên bản an toàn:

PHP 8.1.29 hoặc cao hơn
PHP 8.2.20 hoặc cao hơn
PHP 8.3.8 hoặc cao hơn