Përmbledhje
Në këtë postim, ne shpjegojmë se si AI e kufirit (frontier AI) na ndihmoi të gjenim dhe të ndreqnim rreziqe (vulnerabilities) që kishin mbetur të fshehura në kodin bazë të PHP-së për më shumë se një dekadë. Çështjet e përshkruara më poshtë rrjedhin të gjitha nga vendime kyçe të arkitekturës, disa prej të cilave janë marrë mbi një dekadë më parë, dhe u grupuan nën dy CVE, me një shkallë rëndësie që arrin në CVSS 9.2. Kjo punë u shndërrua në një përpjekje ndëridustriale për të mbrojtur klientët, për të gjetur variante, për të vendosur zbulime dhe zbutje rreziku, si dhe për të verifikuar një arnë (patch) në kohë për zbulimin e koordinuar.
Gati çdo version i PHP-së preket nga të paktën një nga këto çështje, duke përfshirë lëshimet që datojnë që nga PHP 5.4. Rreziqet mund t'u lejojnë sulmuesve të paautorizuar (unauthenticated) të ekzekutojnë kod në serverët e prekur ose të lexojnë memorien e ndjeshme të procesit. Ajo memorie mund të përmbajë fjalëkalime, tokena autentikimi, çelësa API dhe certifikata që u përkasin kërkesave të tjera ose vetë serverit.
PHP është gjuha e programimit pas shumë pjesëve të uebit, duke fuqizuar WordPress, Drupal dhe MediaWiki, softueri që xhiron Wikipedia-n. Një e metë në motorin e saj kryesor mund të prekë uebsajtet në të gjithë këtë ekosistem, madje edhe kur kodi i vetë aplikacionit të tyre është i sigurt.
Disa rreziqe bëhen pika kthese sepse ato sfidojnë supozimet themelore rreth sigurisë. Në vitin 2014, Heartbleed ekspozoi brishtësinë e infrastrukturës së përbashkët që siguron internetin. Në vitin 2021, Log4Shell zbuloi se si varësitë softuerike thellësisht të ngulitura mund të krijonin një ekspozim të gjerë, të cilin organizatat e patën të vështirë ta identifikonin. Ne besojmë se PHP2Shell mund të shënojë një pikë kthese të ngjashme për epokën e AI, duke ilustruar se si AI mund të ndryshojë shfrytëzueshmërinë (exploitability) praktike të rreziqeve të kahershme. Ndërtimi i shfrytëzimit (exploit) kërkonte zinxhirimin e disa të metave dhe përshtatjen me paraqitjen e memories (memory layout) të secilit target përmes testimit dhe debugimit të përsëritur. Modelet e kufirit (frontier models) ishin kritike për ta bërë këtë proces praktik, duke na mundësuar të zhvillonim dhe të përshtatnim eksploite funksionale nëpër disa aplikacione brenda pak orësh. Ndërsa koha dhe ekspertiza e kërkuar për këtë punë zvogëlohen, kompleksiteti mund të mos ofrojë më një pengesë kuptimplotë, duke ndryshuar mënyrën se si ne përcaktojmë se çfarë është e prekshme (vulnerable) në praktikë.
Wiz Research dëshiron të falënderojë ekipin e PHP, Calif dhe OpenAI për punën e tyre në zbulim, koordinim dhe verifikim të arnës (patch). OpenAI dhe Calif gjithashtu publikuan blogje që përmbajnë detaje mbi rrezikun – historinë e tij, detajet teknike dhe njohuri mbi procesin e zbulimit. PHP gjithashtu postoi.
Ne gjithashtu dëshirojmë të shprehim mirënjohjen tonë të sinqertë ndaj Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft, Vercel dhe shumë të tjerëve, për ndihmën në përgatitjen e udhëzimeve dhe zbutjeve të gatshme (out-of-the-box mitigations) për klientët që nuk mund ta aplikojnë arnën menjëherë.
Rreziqet (The Vulnerabilities)
Të gjitha rreziqet e zbuluara janë çështje të sigurisë së memories (memory-safety) që rrjedhin nga gabimet (bugs) në mënyrën se si PHP trajton gabimet fatale gjatë përpunimit të kërkesave, veçanërisht gabimet e mbarimit të memories (out-of-memory errors). Këto gabime mund të lënë pas një gjendje të korruptuar të brendshme të PHP-së pasi një kërkesë përfundon papritur. Një kërkesë ose punonjës (worker) i mëvonshëm mund të ripërdorë atë gjendje të vjetëruar, duke çuar në zbulim ose korruptim të memories.
Më poshtë mund të gjeni një tabelë që demonstron se çfarë lloj ndikimi u demonstrua nga secili prej gabimeve që ne raportuam te PHP. Aplikacionet e listuara më poshtë janë targete që ne zgjodhëm për demonstrimet e RCE. Ata janë targete përfaqësuese - shfrytëzimi nuk kërkon një nga këto CMS, pasi kodi i prekshëm është në vetë PHP.
Ndërsa ky blog mbulon vetëm katër raste të gabimeve të shfrytëzueshme (të grupuara nën dy CVE) që ndjekin këtë model problematik, ka variante të tjera të gjurmuara, dhe ndoshta të pagjurmuara, të kësaj çështjeje në kodin bazë të PHP-së. Këto variante kanë kërkesa të ndryshme për shfrytëzim dhe mund të çojnë në lloje të ndryshme ndikimi. Në çdo rast, arna (patch) e ofruar nga ekipi i PHP-së e ndreq çështjen në bërthamën e saj dhe eliminon të gjitha variantet në lëshimin e arnueshëm.
Ndikimi (Impact)
Ne i kombinuam këto rreziqe në një skript të vetëm shfrytëzimi, php2shell, dhe demonstruam se ai mund të ekzekutonte kod nga larg pa autentikim në instalimet e WordPress (wordpress:latest), Drupal (drupal:latest) dhe Joomla (joomla:latest), duke përdorur imazhet e tyre më të fundit të kontainerëve në kohën e testimit.
Këto platforma ilustrojnë ndikimin, por rreziqet janë në vetë PHP. Shfrytëzimi nuk varet nga një e metë në kodin e aplikacionit: madje edhe një aplikacion i thjeshtë “Hello World” që xhiron në një version të prekur të PHP-së mund të jetë i prekshëm.
Veçmas, ne demonstruam se sulmuesit mund të lexonin të dhëna të ndjeshme nga memoria e procesit të PHP-së, duke përfshirë fjalëkalime, tokena dhe çelësa API, pa pasur nevojë të arrinin ekzekutimin e kodit nga larg (remote code execution).