漏洞描述
2019年10月22日,国外安全研究员公开了一个PHP-FPM远程代码执行的漏洞EXP.
该EXP是Andrew Danau在某比赛解决一道 CTF 题目时发现,向目标服务器 URL 发送 %0a 符号时，服务返回异常发现的漏洞.
2019年9月26日,PHP官方发布漏洞通告,其中指出:使用 Nginx + php-fpm的服务器,在部分配置下,存在远程代码执行漏洞.且该配置已被广泛使用，危害较大,影响较为广泛.相关工具已经公开在Github
CVE编号
CVE-2019-11043
漏洞威胁等级
高危
影响范围
PHP 5.6-7.x
漏洞复现
使用payload工具进行验证
修复建议
-
1.修改 nginx 配置文件中fastcgi_split_path_info的正则表达式,不允许.php之后传入不可显字符
-
2.暂停使用 nginx+php-fpm 服务
-
3.删除如下配置
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_param PATH_INFO $fastcgi_path_info;
时间轴
[1].2019-10-21 PHP 官方发布漏洞更新
[2].2019-10-23 亚信安全网络攻防实验室研究院经过分析验证并发布漏洞预警
Reference