Der Heise-Newsticker berichtet aktuell über Versuche, Internetserver mit der Programmiersprache PHP zu übernehmen. Dabei wird offenbar ein erst vor Kurzem veröffentlichter Exploit benutzt, der eine Lücke in PHP 5 ausnutzt.
Die Lücke ist zwar schon seit Mai 2012 bekannt und seit PHP Version 5.3.12 und 5.4.2 beseitigt, aber offenbar gibt es immer noch anfällige Server, die mit älteren Versionen von PHP laufen.
Die Angriffe nutzen ein Problem aus, das nur aufkommt, wenn PHP nicht als Apache-Modul oder als FastCGI, sondern im CGI-Modus betrieben wird. Der Angreifer kann dabei dem PHP-Programm direkt Parameter über die Kommandozeile übergeben und so dann auch Schadcode einschleusen und ausführen lassen.
Der aktuelle Exploit von Kingcope nutzt das, um dem Angreifer eine Shell auf dem Server bereit zu stellen. Ein Exploit ist ein fertiges Beispielprogramm zum Ausnutzen einer Sicherheitslücke im Quellcode (meist in C) – man muss es nur noch kompilieren, dann ist es einsatzbereit.
In den Log-Dateien angegriffener Server finden sich reihenweise Einträge dieser Art:
“POST /cgi-bin/php5?%2D%64+%61%6C%6C ..”
die einen versuchten Angriff vermuten lassen. Wer also noch ungepatchte Web-Server mit PHP betreibt, sollte die jetzt bald aktualisieren, bevor er ungebetenen Besuch bekommt…
