漏洞预警 | PHP 远程代码执行漏洞 (CVE-2019-11043)

作者:深圳市网安计算机安全检测技术有限公司 | 国际 2019/10/23 17:48:00 466
文章来源:https://mp.weixin.qq.com/s/NFPVPSUHJKr4ghfa0ofoWQ
长 亭 漏 洞 预 警        

PHP 远程代码执行漏洞

(CVE-2019-11043)


在9 月 14 日至 18 举办的 Real World CTF 中,国外安全研究员 Andrew Danau 在解决一道 CTF 题目时发现,向目标服务器 URL 发送 %0a 符号时,服务返回异常,疑似存在漏洞。

9 月 26 日,PHP 官方发布漏洞通告,其中指出:使用 Nginx + php-fpm 的服务器,在部分配置下,存在远程代码执行漏洞。并且该配置已被广泛使用,危害较大。

漏洞 PoC 在 10 月 22 日公开。


漏洞描述

Nginx 上 fastcgi_split_path_info 在处理带有 %0a 的请求时,会因为遇到换行符 \n 导致 PATH_INFO 为空。而 php-fpm 在处理 PATH_INFO 为空的情况下,存在逻辑缺陷。攻击者通过精心的构造和利用,可以导致远程代码执行。


影响范围

Nginx + php-fpm 的服务器,在使用如下配置的情况下,都可能存在远程代码执行漏洞。

 location ~ [^/]\.php(/|$) {

        fastcgi_split_path_info ^(.+?\.php)(/.*)$;

        fastcgi_param PATH_INFO       $fastcgi_path_info;

        fastcgi_pass   php:9000;

        ...

  }

}


解决方案

在不影响正常业务的情况下,删除 Nginx 配置文件中的如下配置:

fastcgi_split_path_info ^(.+?\.php)(/.*)$;

fastcgi_param PATH_INFO       $fastcgi_path_info;

如需帮助请咨询info@chaitin.cn


参考资料

·https://bugs.php.net/bug.php?id=78599

·https://lab.wallarm.com/php-remote-code-execution-0-day-discovered-in-real-world-ctf-exercise/

·https://github.com/neex/phuip-fpizdam

推荐关注

指导单位
广东省公安厅网络警察总队 广东省信息安全等级保护协调小组办公室