Na kratko: CERT-EU po poročilih svetuje, da se zajamejo namestitve PHP, takoj posodobi in javno dostopne aplikacije izolira, če jih ni mogoče posodobiti v kratkem. CERT-Bund (nemški vladni CERT) in BSI (nemški zvezni urad za informacijsko varnost) v svojem opozorilu priporočata takojšnjo posodobitev in, če to ni mogoče, začasen umik prizadetih spletnih strežnikov z omrežja. Priporočila se v jedru skladajo: najprej posodobitev, izolacija kot zasilna rešitev, prehodni ukrepi samo kot dopolnilo.
Kdo opozarja in za koga?
Pri PHP2Shell se je v nekaj urah odzvalo več uradnih služb. Za podjetja v Nemčiji je prvi naslov BSI s svojo računalniško skupino za nujne odzive CERT-Bund. CERT-EU je služba za kibernetsko varnost institucij EU; njegova opozorila so sprva namenjena njim, a jih berejo po vsej Evropi. Po BleepingComputer je opozorilo tudi britanski National Cyber Security Centre. Iz zasebnega sektorja so se oglasili med drugim Huntress in Cloudflare.
Za vas kot upravljavca izvor ni toliko pomemben kot skladnost. Kadar več neodvisnih služb svetuje isto, je to močan signal.
CERT-Bund, CERT-EU in druge: opozorila za PHP v primerjavi
| Služba | Ključno priporočilo | Posebnost |
|---|---|---|
| BSI / CERT-Bund | takoj posodobiti, sicer spletni strežnik začasno z omrežja | opozorilna stopnja 3 / oranžna |
| CERT-EU | zajeti namestitve PHP, takoj posodobiti, sicer izolirati javne aplikacije | je po poročilih menil, da so lahko prizadete različice od PHP 5 naprej |
| UK NCSC | takoj posodobiti ali prizadete sisteme do popravka umakniti z omrežja | po BleepingComputer |
| php.net | posodobiti na 8.5.12, 8.4.27, 8.3.36 ali 8.2.35, prehodni ukrepi samo kot delna zaščita | primarni vir za različice in nastavitve |
Nobena od služb ne priporoča, da se zanašate samo na Web Application Firewall ali na nastavitve v php.ini. Vse navajajo posodobitev kot pravo rešitev. Kaj BSI svetuje poleg tega v podrobnostih, je na strani Kaj BSI priporoča glede PHP2Shell.
Vprašanje različic: kaj pomeni „od PHP 5 naprej“
CERT-EU je po poročilih menil, da so lahko prizadete različice od PHP 5 naprej. Pri tem se je služba po strokovnih poročilih opirala na informacije, ki so krožile pred uradnim obvestilom. Strokovni tisk govori o skoraj vseh različicah vse do PHP 5.4.
V praksi natančna meja malo spremeni. Za PHP 8.1 in starejše projekt PHP ne dobavlja več uradnih posodobitev. Obstajajo minimalni backporti izvorne kode za 7.4, 8.0 in 8.1, a ne izdaje. Kdor še upravlja PHP 5 ali 7, je odvisen od distribucij, tretjih ponudnikov ali migracije. Ali je vaša distribucija dobavila popravek, kažejo njene lastne varnostne strani, na primer Debian Security Tracker, Ubuntu Security Notices ali opombe Red Hata. Obstajajo tudi komercialne ponudbe dolgoročne podpore za stare različice PHP; ali pokrivajo PHP2Shell, si naj ponudnik pisno potrdi. Podrobnosti o vejah so pod Katere različice PHP so prizadete? in PHP 8.1 in starejši.
Izolirati: kako izvedete priporočilo
„Izolirati“ zveni abstraktno. Mišljeno je, da zahteve z interneta ne dosežejo več ranljive aplikacije PHP. Glede na aplikacijo je več stopenj:
- Povsem izklopiti: Spletna stran se nadomesti s statično zasilno stranjo brez PHP. To je najvarnejša različica.
- Omejiti dostop: Aplikacija ostane v delovanju, a je dosegljiva samo prek VPN ali za določene naslove IP, na primer pri notranjih portalih.
- Predhodna prijava: Prijava na ravni spletnega strežnika ali proxyja pred aplikacijo. Pozor: pri mod_php je bil exploit prikazan, še preden se izvede koda aplikacije. Prijava mora zato delovati pred PHP, ne v aplikaciji.
- Zapreti neposreden dostop do izvora: Kdor uporablja storitev proxy ali CDN, naj zagotovi, da strežnik ni dodatno neposredno dosegljiv.
Omejitev v spletnem strežniku je lahko videti tako, kot neškodljiva konfiguracija za Apache:
# Dovoli dostop samo iz notranjega omrežja (primer obsega prilagodite)
<Location "/">
Require ip 192.0.2.0/24
</Location>
Učinek preizkusite od zunaj, na primer prek mobilne povezave. Izolacija, ki je bila preverjena samo v pisarniškem omrežju, ni preverjena izolacija.
Izolacija je premostitev. Pri izolaciji takoj določite, do kdaj pride posodobitev in kdo jo namesti. Sicer zasilna rešitev postane trajno stanje.
Kaj priporočila skupaj zahtevajo: popis
Vse uradne službe predpostavljajo, da veste, kje PHP teče. Prav na tem v mnogih podjetjih spodleti: mikrostrani iz starih kampanj, pozabljen portal za stranke, testni sistem z javnim naslovom, aplikacija na NAS. CERT-EU zajem namestitev PHP izrecno navaja kot prvi korak.
Pozabljene sisteme najlažje najdete po treh poteh: prek območij DNS svojih domen, prek seznama izdanih potrdil TLS in prek pogodb z agencijami, ponudniki gostovanja in ponudniki programske opreme. Vsak vnos, za katerega nihče ne ve takoj povedati, kaj stoji za njim, sodi na kontrolni seznam. Prav taki sistemi so v položaju, kakršen je PHP2Shell, nevarni, ker jih nihče ne posodablja in nihče ne pogreša, če so kompromitirani.
Uporaben popis vsebuje za vsak sistem: naslov, namen, upravljavca, različico PHP in način delovanja, vir paketov in kontaktno osebo za posodobitve. Kako ga zgradite in ohranjate aktualnega, kaže prispevek Popis vseh spletnih strani in strežnikov.
Kako konkretno pomaga PHP SOS?
- Zajem: Ugotovimo vaše javno dostopne sisteme PHP in jih razvrstimo po tveganju.
- Popravek ali izolacija: Namestimo posodobitve ali izoliramo aplikacije, ki jih ni mogoče takoj posodobiti, in preverimo učinek od zunaj.
- Stare različice: Za sisteme s PHP 8.1 in starejšim z vami načrtujemo pot do podprtega stanja.
- Dokazilo: Prejmete dokumentacijo izvedenih priporočil za vsak sistem.
Kako stare aplikacije prenesemo na podprte različice, opisuje storitev migracija PHP za starejše sisteme.
Sklep
CERT-EU, CERT-Bund, BSI in projekt PHP govorijo z enim glasom: posodobiti, in kjer to ni takoj mogoče, izolirati. Razlike so v podrobnostih, kot je meja različic. Za vašo prakso šteje prvi korak, ki ga vsi predpostavljajo: vedeti, kje vse PHP teče.
Pogosta vprašanja
Kakšna je razlika med CERT-Bund in CERT-EU?
CERT-Bund je računalniška skupina za nujne odzive pri BSI in v Nemčiji opozarja na ranljivosti. CERT-EU je služba za kibernetsko varnost institucij in organov Evropske unije. Obe izdajata priporočila, ki so koristna tudi za podjetja.
Kaj pomeni izolirati aplikacijo PHP?
Aplikacija potem ni več prosto dosegljiva z interneta. To je mogoče z zasilno stranjo, z dostopom samo prek VPN ali določenih naslovov IP ali s popolnim izklopom. Odločilno je, da zahteve od zunaj ne dosežejo več ranljivega procesa PHP.
Ali so po CERT-EU prizadete tudi različice PHP 5?
CERT-EU je po poročilih menil, da so možne prizadete različice od PHP 5 naprej, pri čemer se je opiral na informacije, ki so krožile pred uradnim obvestilom. Strokovni tisk navaja skoraj vse različice do PHP 5.4. Za tako stare različice uradnih posodobitev ni.
Ali obstajajo uradni znaki za prepoznavanje napadov?
Ne. Zaenkrat ni objavljenih in potrjenih indicators of compromise za PHP2Shell. Prepoznavanje temelji na analizi vedenja, na primer na procesih spletnega strežnika, ki zaženejo lupine, ali na novih datotekah PHP v mapah za nalaganje.