PHP

Die Schwachstelle betrifft PHP in der Betriebsart als CGI-Modul, wenn dieses unter Windows zusammen mit dem Apache-Webserver betrieben wird. Ursache ist das Zusammenspiel mit der sogenannten „Best-Fit"-Zeichenersetzung von Windows: Bei bestimmten Zeichensätzen (Codepages) ersetzt Windows in der an die System-Schnittstellen übergebenen Kommandozeile einzelne Zeichen durch ähnlich aussehende. Das PHP-CGI-Modul kann diese ersetzten Zeichen fälschlich als Befehlszeilenoptionen für den PHP-Interpreter deuten. Dadurch kann ein Angreifer aus der Ferne eigene Optionen an die PHP-Binärdatei durchreichen – und so etwa den Quellcode von Skripten auslesen oder eigenen PHP-Code auf dem Server ausführen. Im Ergebnis erlaubt der Fehler das Einschleusen und Ausführen beliebiger Befehle auf dem System. Betroffen sind ausschließlich Windows-Installationen, die PHP im CGI-Modus einsetzen; die Lücke umgeht eine frühere Korrektur einer verwandten Schwachstelle.