1. 威客安全首页
  2. 安全资讯

PHP远程代码执行漏洞预警(CVE-2019-11043)

2019年926日PHP官方发布了一则漏洞公告,此次漏洞公告中官方披露了一个远程代码执行漏洞,该漏洞是因PHP-FPM中的fpm_main.c文件的env_path_info下溢而导致的。该漏洞存在于PHP-FPM + Nginx组合使用并采用一定配置的情况下。该漏洞PoC已在2019年10月22日公布,PHP与Nginx组合使用的情况较为广泛,攻击者可利用该漏洞远程执行任意代码,所以危害性较大。

PHP-FPM组件介绍

PHP-FPM(FastCGI流程管理器)是另一种PHP FastCGI实现,具有一些其他功能,可用于各种规模的站点,尤其是繁忙的站点。

对于PHP 5.3.3之前的php来说,PHP-FPM是一个补丁包,旨在将FastCGI进程管理整合进PHP包中。如果你使用的是PHP 5.3.3之前的PHP的话,就必须将它patch到你的PHP源代码中,在编译安装PHP后才可以使用。而PHP 5.3.3已经集成php-fpm了,不再是第三方的包了。PHP-FPM提供了更好的PHP进程管理方式,可以有效控制内存和进程、可以平滑重载PHP配置

漏洞描述

该漏洞是PHP-FPM中的fpm_main.c文件的env_path_info下溢导致,在sapi/fpm/fpm/fpm_main.c文件中的第1140行包含pointer arithmetics,这些pointer arithmetics假定env_path_info的前缀等于php脚本的路径。但是,代码不会检查这些假设是否被满足,缺少检查会导致path_info变量中的指针无效。

这样的条件可以在标准的Nginx配置中实现。如果有这样的Nginx配置:

 

location ~ [^/]\.php(/|$) {

        fastcgi_split_path_info ^(.+?\.php)(/.*)$;

        fastcgi_param PATH_INFO       $fastcgi_path_info;

        fastcgi_pass   php:9000;

        …

  }

 

攻击者可以使用换行符(编码格式为%0a)来破坏`fastcgi_split_path_info`指令中的regexpregexp损坏将导致空PATH_INFO,从而触发该错误。

这个错误会导致代码执行漏洞。在后面的代码中,path_info[0]的值设置为0,然后再调用FCGI_PUTENV。攻击者可以使用精心选择的URL路径长度和查询字符串,使path_info精确地指向_fcgi_data_seg结构的第一个字节。然后将0放入其中则‘char* pos’字段向后移动,然后FCGI_PUTENV使用脚本路径覆盖一些数据(包括其他快速cgi变量)。使用这种技术,攻击者可以创建一个伪PHP_VALUE fcgi变量,然后使用一系列精心选择的配置值来执行代码。


影响产品:

2019-09-26更新之前下载的PHP-FPM,且必须为Nginx + php-fpm 的服务器使用如下配置,会受到影响。

 

location ~ [^/]\.php(/|$) {

        fastcgi_split_path_info ^(.+?\.php)(/.*)$;

        fastcgi_param PATH_INFO       $fastcgi_path_info;

 

        fastcgi_pass   php:9000;

        …

  }

 

修复建议

1. 如果业务不需要以下配置,建议用户删除:

 

fastcgi_split_path_info ^(.+?\.php)(/.*)$;

        fastcgi_param PATH_INFO       $fastcgi_path_info;

 

2. 使用github中的最新的PHP版本,下载地址:

https://github.com/php/php-src

 

参考链接

https://bugs.php.net/bug.php?id=78599

原文链接:https://www.secpulse.com/archives/116285.html

本站声明:网站内容来源于安全脉搏如有侵权,请联系我们,我们将及时处理。

本文转为转载文章,本文观点不代表威客安全立场。

联系我们

4006-119-120

在线咨询:点击这里给我发消息

邮件:public@jinlongsec.com

工作时间:周一至周五,9:30-18:30,节假日休息

X