Explotación efectiva de PHP2Shell confirmada (de nuevo, ahora por KEV)

Se ha con­fir­ma­do la ex­plo­ta­ción exi­to­sa en en­tor­nos con­tro­la­dos de dos fa­llos crí­ti­cos de eje­cu­ción re­mo­ta de có­di­go co­no­ci­dos como PHP2Shell. La ac­ti­vi­dad ma­li­cio­sa ini­cial fue re­gis­tra­da por un es­pe­cia­lis­ta en de­tec­ción y res­pues­ta me­dian­te tram­pas di­gi­ta­les o ho­ney­pots fren­te a una con­fi­gu­ra­ción es­pe­cí­fi­ca de Apa­che con una ver­sión con­cre­ta de PHP, lo­gran­do no solo un pro­ce­so sos­pe­cho­so, sino una eje­cu­ción re­mo­ta con­fir­ma­da con di­vul­ga­ción de me­mo­ria uti­li­za­ble y la de­ri­va­ción de una di­rec­ción de fun­ción a par­tir de un vol­ca­do de coo­kies. Este ha­llaz­go fue res­pal­da­do por otro in­ves­ti­ga­dor de ame­na­zas tras ras­trear di­ver­sos re­por­tes sobre su­pues­tos ata­ques fruc­tí­fe­ros.

A pesar de los casos com­pro­ba­dos en en­tor­nos con­tro­la­dos, un aná­li­sis téc­ni­co rea­li­za­do por una firma de in­ves­ti­ga­ción in­di­có que los ex­ploits pú­bli­cos si­guen fa­llan­do en es­ce­na­rios de pro­duc­ción reales. Aun­que los ata­ques con­si­guen sa­tu­rar la me­mo­ria del in­tér­pre­te, no lo­gran ex­traer su con­te­ni­do ni ob­te­ner las di­rec­cio­nes re­que­ri­das para eva­dir la pro­tec­ción con­tra alea­to­ri­za­ción de la dis­tri­bu­ción del es­pa­cio de di­rec­cio­nes. Entre las prin­ci­pa­les ba­rre­ras téc­ni­cas se en­cuen­tran la in­com­pa­ti­bi­li­dad de me­mo­ria en dis­tin­tas com­pi­la­cio­nes o con­fi­gu­ra­cio­nes, la ne­ce­si­dad de que múl­ti­ples so­li­ci­tu­des im­pac­ten exac­ta­men­te en el mismo pro­ce­so del tra­ba­ja­dor antes de que este re­ini­cie, y los pro­ble­mas de red de­ri­va­dos de la la­ten­cia.