️ PHP2Shell: Attenzione alle repliche

Ripubblicazione — contenuto di Vincent Strubel

⚠ PHP2Shell: attenzione alle repliche

La pubblicazione alquanto caotica delle vulnerabilità critiche in PHP la scorsa settimana ha dato origine a una notevole mobilitazione, su scala globale, per applicare urgentemente le patch su un numero incredibile di siti web. Possiamo rallegrarcene.

Ma non dovremmo pensare troppo in fretta che il problema sia risolto: il rischio si sta spostando dai siti web alla miriade di prodotti di terze parti che incorporano versioni di PHP (casualmente in un'interfaccia di amministrazione web): router, firewall, controllori industriali, oggetti connessi in senso lato… Anche questi devono essere aggiornati.

Una risorsa utile per evitare di annegare nella complessità dell'argomento: l'iniziativa delle nostre controparti 🇳🇱 presso il Nationaal Cyber Security Centrum (NCSC-NL), che consolidano in un repository github le informazioni disponibili sugli aggiornamenti dei prodotti che incorporano PHP.

Questo ci permette di combinare i nostri sforzi almeno su scala europea, ed evitare duplicazioni di lavoro o di informazioni. Bravo e grazie a loro! ANSSI ora fa riferimento a questo repository nel proprio avviso, e inietta le proprie informazioni nella directory comune.

Repository Github: https://lnkd.in/eXTxysrt

Fonti LinkedIn

Il post ⚠️ PHP2Shell: attenzione alle repliche è apparso per la prima volta su les plumes qui mordent.



Domande frequenti
FAQ PHP2Shell Attenzione alle repliche

D Che cos'è PHP2Shell
R È un nome per un tipo di attacco in cui una falla nel codice PHP consente a un attaccante di eseguire i propri comandi sul tuo server, spesso subito dopo che una vulnerabilità correlata è stata corretta. Le repliche sono attacchi successivi che colpiscono prima o dopo che il primo è stato corretto

D Cosa significa repliche qui
R È una metafora dai terremoti. Dopo un exploit gli attaccanti continuano a sondare alla ricerca di falle rimaste, file dimenticati o patch deboli. Quei colpi successivi sono le repliche, e possono essere altrettanto dannosi

D PHP2Shell è un CVE specifico o un prodotto reale
R No. È un'etichetta descrittiva, non un singolo ID di vulnerabilità o strumento. Trattalo come un modello di avvertimento: una falla PHP che porta all'esecuzione di shell più gli attacchi successivi

D Come fa un attaccante a passare da PHP a una shell
R Di solito attraverso una gestione non sicura degli input, ad esempio passando input dell'utente a system exec shellexec popen o backtick, oppure attraverso upload di file includerequire con percorsi controllati dall'utente o bug di deserializzazione. Una volta che il codice viene eseguito, possono generare una shell

D Perché dovrei preoccuparmene se ho già corretto il bug principale
R Perché le repliche prendono di mira ciò che hai mancato: copie non corrette, file di backup, endpoint di debug, codice in cache o altri servizi che condividono le stesse credenziali. Una patch pulita non annulla i danni già fatti

D Quali sono i segnali di avvertimento comuni di un attacco
R Connessioni in uscita inaspettate, file nuovi o modificati nelle directory web, cron job strani, utenti o chiavi SSH sconosciuti, processi insoliti e picchi nei log degli errori o nei 500

D Come faccio a verificare se la mia app è vulnerabile
R Cerca nel tuo codice le funzioni pericolose e verifica se qualcuna accetta input dell'utente. Controlla anche gli upload di file, i percorsi include e le chiamate unserialize. Esegui uno strumento di analisi statica e una dipendenza

Related Posts