Kein einfacher Exploit für diese PHP-Schwachstelle
There isn't an easy exploit for this PHP vulnerability
Eine kritische PHP-Schwachstelle sorgt für Aufregung, doch es gibt keinen funktionierenden Exploit gegen eine Standardinstallation. Tausende angebliche PoCs auf GitHub scheitern, viele davon setzen eine bereits vorhandene LFI-Schwachstelle voraus – ein absurdes Szenario. Der Autor argumentiert, dass LLMs wie Claude oder GPT falsche Sicherheit vermitteln, indem sie unbrauchbare Exploit-Ketten generieren und sogar den Testserver manipulieren. Die Panik erinnert an Log4Shell, ist aber unbegründet.
Es ist zehn Stunden her, dass diese Schwachstelle veröffentlicht wurde, die halbe Softwarewelt schaut sie sich an, und Gott weiß, dass 100.000 Leute ihre „Superintelligenz“ darauf angesetzt haben. Trotzdem gibt es keinen funktionierenden Exploit.
- nallerooth
Das ist eine ziemlich seltsame Behauptung von jemandem, der versucht, im Bereich Cybersicherheit sachkundig zu klingen (vielleicht ist er es, ich habe keine Ahnung, wer diese Person ist). Selbst wenn der Exploit schwierig richtig einzusetzen wäre, heißt das nicht, dass es an Gruppen mangelt, die es versuchen.
Jeder, der das ernst nimmt, würde die Tatsache berücksichtigen, dass ein funktionierender PoC an das PHP-Sicherheitsteam gemeldet wurde. Sie bestätigten die Schwachstelle und fingen an, viel Lärm um deren Schweregrad zu machen, indem sie 2 CVEs meldeten und den Patch an Linux-Distributionen vor der offiziellen Patch-Veröffentlichung weitergaben.
Beim Versuch zu verstehen, worum es in der Botschaft des Beitrags eigentlich geht, habe ich das Ganze in meinem Kopf umgedreht – und die Botschaft lautet im Grunde: „Ihr müsst eure Server nicht aktualisieren“. Das ist etwas, was jemand mit einem funktionierenden Exploit sagen würde. Oder es ist einfach nur Rauschen im Internet.
- hn773746483
Soziale Medien und „Cybersicherheitsexperten“ spielten dabei eine große Rolle. Sachen wie „EU SAGT, DAS IST EINE DRINGENDE SCHWACHSTELLE“ und sogar der Premierminister von Japan, der nachts eine öffentliche Durchsage macht. Sie zitieren die Beiträge „der Experten“ in sozialen Medien über die ursprüngliche Warnung, während genau dieselben sogenannten Experten Google-Such-KI-Ausgaben als Mitigationsstrategien teilen. Keine dieser Organisationen oder Stellen hatte andere Details als das, was in den Warnungen und in den sozialen Medien stand. (z. B. „CVSS 10, das ist schlimm!!“)
Für mich wirkt es viel eher wie Broadpwn: technisch schwerwiegend, breite Reichweite (Millionen von iPhones), aber es wird nie ein Einheits-PWN-Knopf werden.
Selbst im Zeitalter der KI glaube ich nicht, dass das später so weaponisiert wird wie Eternalblue … aber ich bin nicht der Social-Media-Cybersec-Typ mit 15000 Followern, also nimm meine Worte nicht für bare Münze ;)
- tibbar
Zwei Dinge können gleichzeitig wahr sein: Es ist ein echtes, ausnutzbares CVE 10, und es ist schwierig genug zu konstruieren, dass man einen guten Harness + Verifikationsprozess braucht, damit das LLM nicht schummelt. Der Exploit mag also nicht einfach zu konstruieren sein, aber er erfordert nicht wirklich die künstlichen Einstellungen, die der OP impliziert hat.
> Was wir demonstriert haben
> Pre-Authentication RCE auf WordPress, Drupal und Joomla
- nemothekid
Für mich war das Seltsame, dass es keine Write-ups dazu gab, wie die Schwachstelle tatsächlich funktionierte. Es fühlt sich wirklich so an, als hätten viele Leute gesagt: „Claude hat einen Bug gefunden, und Claude sagt, er ist gefährlich“, aber niemand hat tatsächlich verifiziert, wie ausnutzbar er wirklich ist? Das heißt nicht, dass man es ignorieren sollte, aber im Vergleich zu Heartbleed (wo Exploits von Hand geschrieben werden mussten) gibt es viel weniger aktive PoCs.
- apexalpha
Das war absolut ausnutzbar. Die Tatsache, dass 1000 nicht funktionierende PoCs existieren, entkräftet nicht den einen, der funktioniert.
Klar, vielleicht nicht bei einer Vanilla-Installation, aber die meisten Leute installieren PHP nicht selbst, sie nutzen einen vorgefertigten Container oder eine Plattform, die im Hintergrund PHP verwendet.
Gestern war ich einfach nicht mehr sicher genug in der Sicherheit, und die Daten in meiner Datenbank sind wichtig genug, um für ein paar Stunden offline zu gehen.
- kgeist
Ich habe heute 2 PoCs von GitHub ausgeführt: Einer erwartete tatsächlich, dass Local File Inclusion (LFI) bereits vorhanden ist (also ist es nur LFI mit zusätzlichen Schritten), und der andere funktionierte überhaupt nicht out of the box ohne einige Modifikationen (obwohl ich dieselben Docker-Images und alles verwendet habe). Der zweite PoC löste am Ende tatsächlich einen echten Stale-Write-Bug aus, aber er demonstrierte keine tatsächliche RCE; er löste nur einen Stale Write aus. Und dann fragte ich mich: Ist das das erste Mal überhaupt, dass die PHP-Runtime einen Speicherkorruptionsbug hatte? Ich bezweifle es (ich erinnere mich, dass wir vor ein paar Jahren zufällige Abstürze in der Produktion unter hoher Last wegen eines Opcache-Bugs hatten). Und wenn es nicht der erste Speicherkorruptionsbug in der PHP-Runtime ist, warum wird er dann als die schlimmste Schwachstelle seit Jahren ausgerufen?
- nickysielicki
Docker-Images von Wordpress, Joomla und Drupal waren alle ausnutzbar.
- rectang
Laut „Today's PHP Security Release, and How We're Strengthening PHP Security“, diskutiert unter https://news.ycombinator.com/item?id=50182987
* Bezüglich eines CVE: „Remote code execution was also confirmed on PHP-FPM through application-level code paths.“
* Bezüglich des anderen CVE: „A use-after-free and worker crash were confirmed, and the reporter demonstrated remote code execution against a real-world application running on Apache with mod_php.“
Da diese Exploits existieren, erwarte ich, dass LLMs sie bald duplizieren werden.
- easterncalculus
Dazu passend ein LiveOverflow-Video über gefälschte Exploits, die im Umlauf sind: https://www.youtube.com/watch?v=7CiZmq2llDg
Trotzdem: Der OP redet im Grunde nur Mist. Das ist absolut ausnutzbar, und die Leute werden einfach die Plattform und ABI annehmen und es gegen das Internet sprühen, insbesondere in der Hoffnung auf mod_php.
- 0x1F8B
Wenn sie so überzeugt sind, dass das nicht ausnutzbar ist, sollte diese Person einen sehr einfachen nginx-php-fpm-Server mit einer ausnutzbaren PHP-Version aufsetzen und Leute einladen, ihn auszunutzen.