PHP-CGI のOSコマンドインジェクション（CVE-2024-4577）― 2012年に塞いだはずの経路が、別の入り口から通じていた

1OSコマンドインジェクションという型

プログラムが、外部から受け取った文字列を組み込んでオペレーティングシステムに命令を渡すことがあります。このとき、文字列に含まれる特殊な記号が命令の区切りとして解釈されると、本来意図しない命令が続けて実行されうる状態になります。これがOSコマンドインジェクションと呼ばれる欠陥の型です。

区分名にある「無害化」は、命令として解釈されうる記号を、単なる文字として扱われるように処理することを指します。この処理が不十分な場所が残っていると、欠陥になります。

2パッチの迂回という記述

1. 12012年同種の脆弱性が報告され、修正が行われる
2. 2以後その修正によって塞がれたものとして扱われる
3. 32024年（本件）別の入り口から同じ場所に到達しうることが判明する
4. 4カタログの記述本件は2012年の脆弱性に対するパッチの迂回であると明記される

注目したいのは、これが新しく作り込まれた欠陥ではなく、12年前に塞いだはずの経路が別の入り口から通じていたという点です。修正は特定の経路を塞ぐ形で行われることが多く、同じ場所に別の経路があれば残ります。当サイトでは、後から出た更新のほうが堅牢な保護を含むとされた例も別に扱っており、修正の完全性が繰り返し問題になっていることが分かります。

3広く使われる部品であること

カタログは、本件が広く使われる部品に影響するため、修正の状況は個別のベンダーに確認するよう求めています。自分で導入した覚えがなくても、製品の一部として含まれていることがあります。何が影響を受けるかを自組織だけで判断できないという点が、この類型の難しさです。

4条件が限定されていること

説明では、とりわけCGIモードで用いられるWindows版が挙げられています。同じ製品でも、動かし方や環境によって影響の有無が変わります。適用可否の判断には、版だけでなく構成の確認が必要になります。