点石成金打一生肖
首頁 -> 安全研究

安全研究

安全漏洞
php-fpm遠程代碼執行漏洞(CVE-2019-11043)

發布日期:2019-10-23
更新日期:2019-11-06

受影響系統:
PHP PHP 7.3
PHP PHP 7.2
PHP PHP 7.1
PHP PHP 7.0
PHP PHP 5.6
描述:
CVE(CAN) ID: CVE-2019-11043

FPM(FastCGI 進程管理器)用于替換PHP FastCGI 的大部分附加功能,對于高負載網站是非常有用的。

php-fpm在實現中存在安全漏洞,在某些特定Nginx 配置中,該漏洞可能會導致遠程代碼執行。漏洞存在于文件sapi/fpm/fpm/fpm_main.c(https://github.com/php/php-src/blob/master/sapi/fpm/fpm/fpm_main.c#L1140),其中假設env_path_info的前綴等于php腳本的路徑,但是實際上代碼不會檢查此假設是否滿足,缺少該檢查會導致“path_info”變量中的指針無效。當在某些Nginx 配置中,攻擊者可以使用換行符(編碼格式為%0a)來破壞fastcgi_split_path_info指令中的regexp,regexp損壞將導致空PATH_INFO,從而觸發該漏洞。

<*來源:Andrew Danau
  *>

建議:
廠商補丁:

PHP
---
目前廠商已經發布了升級補丁以修復這個安全問題,請到廠商的主頁下載:

https://bugs.php.net/bug.php?id=78599
https://security.netapp.com/advisory/ntap-20191031-0003/
https://support.f5.com/csp/article/K75408500?utm_source=f5support&utm_medium=RSS

瀏覽次數:223
嚴重程度:0(網友投票)
本安全漏洞由綠盟科技翻譯整理,版權所有,未經許可,不得轉載
綠盟科技給您安全的保障
点石成金打一生肖 37516248492678455533928851446764622205756049886363639057901362054454885313903415667868242546616305 (function(){ var bp = document.createElement('script'); var curProtocol = window.location.protocol.split(':')[0]; if (curProtocol === 'https') { bp.src = 'https://zz.bdstatic.com/linksubmit/push.js'; } else { bp.src = 'http://push.zhanzhang.baidu.com/push.js'; } var s = document.getElementsByTagName("script")[0]; s.parentNode.insertBefore(bp, s); })();