WindowsのPHPサーバに緊急の脆弱性、確認とアップデートを
マイナビニュース / 2024年6月10日 15時23分
セキュリティ企業のDEVCOREは6月6日(現地時間)、「Security Alert: CVE-2024-4577 - PHP CGI Argument Injection Vulnerability|DEVCORE」において、Windowsで動作しているPHPから脆弱性を発見したと報じた。この脆弱性を悪用されると、リモートの認証されていない攻撃者に任意のPHPコードを実行される可能性がある。
○脆弱性の情報
WindowsにはUnicode文字のBest-Fitマッピング(Unicode文字を最も近いANSI文字に変換する)機能があり、システムを特定のコードページに設定した場合、Win32 APIに渡されるコマンドライン文字列を自動的に変換することがある(参考:「[MS-UCODEREF]: WCTABLE | Microsoft Learn」)。PHP CGIモジュールを使用している場合、攻撃者はこの機能を利用してPHPのコマンドライン引数に任意の文字列を挿入することができる。
これまでに、次のコードページに設定されたWindowsのPHP CGI環境において攻撃可能なことが確認されている。
日本語(コードページ 932)
繁体字中国語(コードページ 950)
簡体字中国語(コードページ 936)
上記は他のコードページを使用するWindows環境の安全性を保証するものではない。他のコードページを使用する場合でも、対策を実施することが推奨されている。
脆弱性の情報(CVE)は次のとおり。
CVE-2024-4577 - コマンドラインインジェクションの脆弱性。特定のコードページを使用するようにシステムが設定されている場合、WindowsのBest-FitマッピングによりWin32 APIに渡されるコマンドライン引数が予期せずに置換される可能性がある
○脆弱性が存在する製品
脆弱性が存在するとされる製品およびバージョンは次のとおり。
PHP 8.3.7およびこれ以前のバージョン
PHP 8.2.19およびこれ以前のバージョン
PHP 8.1.28およびこれ以前のバージョン
PHP 8.0のすべてのバージョン
PHP 7のすべてのバージョン
PHP 5のすべてのバージョン
XAMPPのすべてのバージョン
○脆弱性が修正された製品
脆弱性が修正された製品およびバージョンは次のとおり。
-
-
- 1
- 2
-
この記事に関連するニュース
-
トレンドマイクロの複数製品に脆弱性、アップデートを - JPCERT/CC注意喚起
マイナビニュース / 2024年6月20日 17時41分
-
チェック・ポイント・リサーチ、2024年5月に最も活発だったマルウェアを発表 国内首位は先月に続きAndroxgh0st、以下多種のマルウェアがひしめく結果に
PR TIMES / 2024年6月19日 15時45分
-
ASUSの複数のWi-Fi製品に緊急の脆弱性、アップデートを
マイナビニュース / 2024年6月18日 8時20分
-
人気ある生体認証デバイスに脆弱性、細工したQRコードで認証可能
マイナビニュース / 2024年6月13日 8時51分
-
ThinkPHPの古い脆弱性を悪用したサイバー攻撃を確認、注意を
マイナビニュース / 2024年6月12日 9時23分
ランキング
-
1柴犬が必死でくわえようとするのはまさかの“一生無理”なヤツ 子どものような戦いに「激可愛すぎて永遠にリピート」
ねとらぼ / 2024年6月30日 7時0分
-
2様子見していたあのゲーム、今こそ買い時かも!特選Steamサマーセール「過去最安」編【Steamサマーセール2024年夏】
Game*Spark / 2024年6月30日 16時0分
-
3iPhoneでも使うべし!Google系便利アプリ5選|iPhoneでGoogle
&GP / 2024年6月29日 22時0分
-
4別人級メイクの達人がすっぴんからパーティーメイクすると…… 驚きの大変貌に「めちゃめちゃビジュがいい!」「これはまさしく詐欺」
ねとらぼ / 2024年6月29日 19時30分
-
5なんだこれ……! “近未来すぎる砂時計”が話題に 「こういうのたまらん」
ねとらぼ / 2024年6月30日 12時0分
複数ページをまたぐ記事です
記事の最終ページでミッション達成してください
![](/pc/img/mission/mission_close_icon.png)