CVE-2024-5585

Command injection via array-ish $command parameter of proc_open() (bypass CVE-2024-1874 fix)

CVSS 3.1High

7.7/ 10.0

Опубликовано

9 июня 2024 г.

Обновлено

13 февраля 2025 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 8.1.29, 8.2.20, 8.3.8

Обновить PHP до версий 8.1.29, 8.2.20, 8.3.8 или выше.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Инъекция аргументов и команд через массивный параметр $command в proc_open() на Windows (обход патча CVE-2024-1874).

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Исправление CVE-2024-1874 не срабатывает при наличии пробелов в конце имени исполняемого файла. При передаче $command в виде массива аргументы экранируются некорректно, что позволяет манипулировать парсером командной строки cmd.exe.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Выполнение произвольных команд оболочки в среде Windows при обработке аргументов proc_open().

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

PHP GroupPHP

>= 8.1.*➔Fix: 8.1.29

PHP GroupPHP

>= 8.2.*➔Fix: 8.2.20

PHP GroupPHP

>= 8.3.*➔Fix: 8.3.8

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)

github.comhttps://github.com/php/php-src/security/advisories/GHSA-9fcc-425m-g385
www.openwall.comhttp://www.openwall.com/lists/oss-security/2024/06/07/1
lists.fedoraproject.orghttps://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PKGTQUOA2NTZ3RXN22CSAUJPIRUYRB4B/
lists.fedoraproject.orghttps://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/W45DBOH56NQDRTOM2DN2LNA2FZIMC3PK/
security.netapp.comhttps://security.netapp.com/advisory/ntap-20240726-0002/

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2024-5585: Command injection via array-ish $command parameter of proc_open() (bypass CVE-2024-1874 fix). URL: https://cve.futuretools.ru/cve/CVE-2024-5585

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2024_5585,
  title = {{CVE-2024-5585: Command injection via array-ish $command parameter of proc_open() (bypass CVE-2024-1874 fix)}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2024-5585}},
  note = {Оперативный инженерный анализ киберугроз}
}