Une faille de sécurité assez grave vient d’être découverte dans les versions 5.3 et 5.4 de PHP. L’utilisation d’une simple requête HTTPpermet d’afficher le code source de la page et éventuellement d’y retrouver les mots de passes utilisés. De quoi avoir quelques frissons dans le dos.

1. La faille et les solutions pour la contrer

Pour pouvoir exploiter cette faille, il faut tout de même répondre aux conditions suivantes :

• Utiliser une version de PHP sur le serveur inférieure à la 5.3.12 ou la 5.4.2
• L’interpréteur PHP doit fonctionner en mode CGI, ce qui n’est pas le mode par défaut
• La requête HTTP doit être du type Query String, commencer par le signe – et ne pas comporter de signe =
• La méthode de la requête doit être soit un GET, soit un HEAD
• Les modules FastCGI, mod_suphp, ainsi que le couple nginx + php-fpm ne sont pas concernés

Si vous ne savez pas dans quel mode est configuré votre serveur Apache, sachez qu’une configuration en mode CGI ressemble à quelque chose comme ça :

Voici un exemple de requête qui permet de lancer une attaque. Ici, on utilise le paramètre -s qui permet de forcer l’affichage du code source :

Pour corriger cette faille, il existe aujourd’hui deux méthodes. La première consiste tout simplement à mettre à jour PHP. La seconde est la mise en place de règles pour mod_rewrite qui permettent de filtrer les requêtes malicieuses. Voici un exemple de configuration à utiliser :

2. Le module pour Metasploit

Un module pour Metasploit est déjà disponible et il se nomme « php_cgi_arg_injection ». Celui-ci utilise le paramètre -d qui permet de modifier le comportement d’une page PHP dynamiquement, pour ouvrir un shell à distance. Voici un exemple d’utilisation :

Source: www.tux-planet.fr