Κρίσιμα κενά ασφαλείας στην PHP: patches σήμερα ενόψει μαζικών επιθέσεων

Δύο κρίσιμα τρωτά σημεία στη γλώσσα προγραμματισμού PHP οδηγούν σήμερα σε έκτακτη κυκλοφορία διορθώσεων ασφαλείας, με τους ειδικούς να προειδοποιούν ότι μαζικές επιθέσεις ενδέχεται να ξεκινήσουν μέσα σε λίγα λεπτά από τη δημοσίευση των patches.

Σύμφωνα με προειδοποίηση των developers της PHP που δημοσιεύτηκε την Τρίτη, τα δύο τρωτά σημεία έχουν βαθμολογία σοβαρότητας 9,2 στις 10 και επηρεάζουν όλες τις εκδόσεις της γλώσσας από την PHP 5, που κυκλοφόρησε το 2004, και μετά. Η διορθωμένη έκδοση αναμένεται σήμερα στις 10:00 ώρας Ανατολικών ΗΠΑ (14:00 UTC), με τη σημείωση ότι μπορεί να κυκλοφορήσει νωρίτερα αν οι τεχνικές λεπτομέρειες γίνουν δημόσιες ή εμφανιστεί ενεργό exploit. Η PHP Foundation, που ανακοίνωσε την κυκλοφορία μέσω ανάρτησης στο phpc.social (Mastodon), καλεί όλους τους χρήστες της PHP να αναβαθμίσουν τα συστήματά τους μόλις η νέα έκδοση γίνει διαθέσιμη.

Remote Code Execution σε κάθε σύγχρονη έκδοση

Η εταιρεία ασφαλείας watchTowr επιβεβαίωσε ότι πρόκειται για exploits Remote Code Execution: επιτρέπουν σε επιτιθέμενους να εκτελέσουν δικό τους κώδικα στους servers που τρέχουν PHP, από την έκδοση 5 και μετά. Έτσι μπορούν να αλλοιώνουν κακόβουλα ιστοσελίδες, να κλέβουν δεδομένα και να αποκτούν τον έλεγχο των επηρεασμένων servers. Η Sansec, επίσης εταιρεία ασφαλείας, εκτιμά ότι θα ακολουθήσουν «μαζικές επιθέσεις εντός 15 λεπτών από την κυκλοφορία» των patches.

Ο CTO της Cloudflare Ντέιν Κνεχτ (Dane Knecht) δήλωσε ότι «βλέπουμε πρώιμες επιθέσεις να αναδύονται» σε PHP sites της πλατφόρμας, ενώ η Cloudflare ενημερώνει προσωρινά τους κανόνες του firewall της μέχρι να είναι διαθέσιμη η επίσημη διόρθωση.

Η ερευνητική ομάδα watchTowr έχει δημοσιεύσει και βίντεο με εργαλείο με την ονομασία «PHP2Shell», που δείχνει εκτέλεση κώδικα σε servers με WordPress, MediaWiki, Symfony, Drupal και άλλες εφαρμογές βασισμένες σε PHP. Ωστόσο, η ίδια η watchTowr χαρακτηρίζει στο FAQ της τη συγκεκριμένη έκθεση ως «μη επαληθευμένη» ως προς το τι ακριβώς θα μπορούσε να κάνει ο επιτιθέμενος, ενώ δηλώνει ότι έχει επιβεβαιώσει το ίδιο το τρωτό σημείο.

Το WordPress στο επίκεντρο της ανησυχίας

Ιδιαίτερη αναφορά γίνεται στο WordPress, το οποίο τρέχει σε servers με PHP και συνεπώς εκτίθεται στα τρωτά σημεία. Η εταιρεία ασφαλείας Wordfence προειδοποιεί ότι κάθε WordPress site είναι ευάλωτο και ότι η διόρθωση δεν εγκαθίσταται μέσω αυτόματων ενημερώσεων: οι ιδιοκτήτες των sites πρέπει να εντοπίσουν ποιος είναι υπεύθυνος για την αναβάθμιση της PHP στον server τους και να εφαρμόσουν το patch χειροκίνητα. Το WordPress είχε δηλώσει πέρυσι ότι τροφοδοτεί πάνω από το 40% του internet.

Ερευνητής ασφάλειας εκτιμά ότι πάνω από 1,3 εκατομμύρια hosts συνδεδεμένα στο internet πιθανώς επηρεάζονται από τα δύο τρωτά σημεία.

Οργανισμοί κυβερνοασφάλειας έχουν ήδη κινητοποιηθεί. Ο CERT της Ευρωπαϊκής Ένωσης και το UK National Cyber Security Centre του Ηνωμένου Βασιλείου εξέδωσαν οδηγίες, στις οποίες συστήνουν στις εταιρείες που δεν μπορούν να επιδιορθώσουν άμεσα τις πλατφόρμες τους να απομονώσουν τις εφαρμογές τους που είναι εκτεθειμένες στο internet από δημόσια δίκτυα ή να τις αποσυνδέσουν πλήρως από το internet μέχρι να μετριαστεί πλήρως ο κίνδυνος.

Χαρακτηριστική είναι η περίπτωση της GrapheneOS, ομάδας ανάπτυξης κινητού λειτουργικού συστήματος, η οποία απέσυρε προσωρινά εκτός σύνδεσης το φόρουμ χρηστών της, καθώς exploits τύπου proof-of-concept για τα τρωτά σημεία αναπτύσσονται ήδη.

Η PHP developer Τζίνα Πίτερ Μπάνιαρντ (Gina Peter Banyard) δήλωσε ότι η εγκατάσταση των διορθώσεων είναι η μόνη μείωση κινδύνου και ότι το κλείσιμο των servers «μπορεί να είναι το πιο λογικό πράγμα» για όσους δεν μπορούν να αναβαθμίσουν άμεσα. Οι developers και οι οργανισμοί ασφαλείας συνιστούν στους διαχειριστές να προετοιμαστούν εκ των προτέρων και να αναβαθμίσουν άμεσα μόλις η νέα έκδοση κυκλοφορήσει, καθώς —σύμφωνα με τις εκτιμήσεις που έχουν δημοσιοποιηθεί— το περιθώριο πριν από μαζικές επιθέσεις μετριέται σε λεπτά.