最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

 

据外媒 ZDNet 的报道,PHP 7.x 中最近修复的一个远程代码执行漏洞正被恶意利用,并会导致攻击者控制服务器。编号为 CVE-2019-11043 的漏洞允许攻击者通过向目标服务器发送特制的 URL,即可在存在漏洞的服务器上执行命令。漏洞利用的 PoC 代码也已在 GitHub 上发布。

最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

一旦确定了易受攻击的目标,攻击者便可以通过在 URL 中附加 ‘?a=’ 以发送特制请求到易受攻击的 Web 服务器

幸运的是,并非所有的 PHP Web 服务器都受到影响。据介绍,仅启用了 PHP-FPMNGINX 服务器容易受到攻击。PHP-FPM 代表 FastCGI Process Manager,是具有某些附加功能的 PHP FastCGI 替代实现。它不是 nginx 的标准组件,但部分 Web 托管商仍会将其作为标准 PHP 托管环境的一部分。

最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

Web 托管商 Nextcloud 就是其中一个例子,该公司于10月24日向其客户发出安全警告,督促客户将 PHP 更新至最新版本 7.3.11 和 7.2.24,其中包含针对 CVE-2019-11043 漏洞的修复程序。另外,许多其他虚拟主机供应商也被怀疑正在运行易受攻击的 nginx + PHP-FPM 组合。

但是也有一些网站由于技术限制而无法更新 PHP,或无法从 PHP-FPM 切换到另一个 CGI 处理器。

修复建议

将 PHP 7.1.X 更新至 7.1.33 https://github.com/php/php-src/releases/tag/php-7.1.33

将 PHP 7.2.X 更新至 7.2.24 https://github.com/php/php-src/releases/tag/php-7.2.24

将 PHP 7.3.X 更新至 7.3.11 https://github.com/php/php-src/releases/tag/php-7.3.11

关于漏洞的详细分析可查看 https://paper.seebug.org/1063/

原创文章,发布者:酷番叔,转转请注明出处:https://www.kufanyun.com/news/4427.html

(0)
酷番叔酷番叔
上一篇 2019年10月29日 22:18
下一篇 2019年11月2日 22:20

相关推荐

  • 在上云的时代:技术革新才是重点!

      上云目前成为潮流,云的功用价值进一步开释,云计算将逐步从潮流转变为企业实践的举动,深度、力度、广泛性继续增强,企业使用云服务器成为一种高频行为。简单的讲,中小企业的数据每时每刻都跑在云上。云服务器在企业的浸透,云工作、云存储、云办理等多样化、多元化的开展。云服务器的应用场景不断拓宽,企业随时随地都需求云来协助运营、办理,云服务器也成为一种必不可…

    2018年11月6日
    11400
  • 中国域名根服务器来了,网络管理降开启新篇章!

    据工信部网站 6 月 26 日消息,工业和信息化部发布关于同意中国互联网络信息中心设立域名根服务器(F、I、K、L 根镜像服务器)及域名根服务器运行机构的批复。 域名根服务器的重要性  从事互联网行业的朋友都知道域名根服务器的重要性,域名根 服务器 是目前互联网最重要的基础之一,负责全球互联网域名根服务器、域名体系和 IP 地址等的管理,例如在浏览器地址栏输…

    2019年6月28日
    13100
  • 物理机销量首次出现下跌,云市场持续增长

    6月18日,市场研究机构IDC公布最新数据,2019年第一季度中国市场物理机出货量下跌0.7%,全球市场物理机销量下跌5.1%,而云计算市场持续强劲增长,平均增幅达40%。   相比传统服务器,云服务器采用了虚拟化技术,整合了大量集群主机的计算、网络与存储资源,其CPU、内存、硬盘、带宽等资源都可以弹性扩容,按需取用。 基于集群服务器,拥有更强的主…

    2019年6月22日
    5300
  • Let’s Encrypt因漏洞影响 3月4日起将吊销部分TLS证书?

    3月5日 消息:昨日,Let’s Encrypt向客户发布邮件称,将从 3 月 4 日起吊销约300万个TLS / TTS 证书。对此,Let’s Encrypt建议用户及时更换证书,否则访客将跳转到证书失效的安全警告。 Let’s Encrypt在邮件中称,新证书的续签流程,可以在 ACME 文档中找到。也可以通过官方工具来查看是否需要更新证书。 今年2月…

    2020年3月6日
    7200
  • 优化提升服务器安全性能防护的几点重要建议

    日前,万豪国际集团(以下简称“万豪”)官方微博发布声明称,该公司旗下喜达屋酒店的客房预订数据库被黑客入侵,在2018年9月10日或之前曾在该酒店预订的最多约5亿名客人的信息或被泄露。   如今,随着黑客技术的发展,服务器被攻击的事件屡见不鲜,我们没有办法彻底解决网络安全问题,但可以不断加强防护,提高服务器的抵御能力。 那么,我们要如何提升服务器的安…

    2018年12月8日
    7700

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注

联系我们

400-990-9934

在线咨询: QQ交谈

邮件:HI@NOTICE.KUFANYUN.COM

关注微信