最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

 

据外媒 ZDNet 的报道,PHP 7.x 中最近修复的一个远程代码执行漏洞正被恶意利用,并会导致攻击者控制服务器。编号为 CVE-2019-11043 的漏洞允许攻击者通过向目标服务器发送特制的 URL,即可在存在漏洞的服务器上执行命令。漏洞利用的 PoC 代码也已在 GitHub 上发布。

最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

一旦确定了易受攻击的目标,攻击者便可以通过在 URL 中附加 ‘?a=’ 以发送特制请求到易受攻击的 Web 服务器

幸运的是,并非所有的 PHP Web 服务器都受到影响。据介绍,仅启用了 PHP-FPMNGINX 服务器容易受到攻击。PHP-FPM 代表 FastCGI Process Manager,是具有某些附加功能的 PHP FastCGI 替代实现。它不是 nginx 的标准组件,但部分 Web 托管商仍会将其作为标准 PHP 托管环境的一部分。

最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

Web 托管商 Nextcloud 就是其中一个例子,该公司于10月24日向其客户发出安全警告,督促客户将 PHP 更新至最新版本 7.3.11 和 7.2.24,其中包含针对 CVE-2019-11043 漏洞的修复程序。另外,许多其他虚拟主机供应商也被怀疑正在运行易受攻击的 nginx + PHP-FPM 组合。

但是也有一些网站由于技术限制而无法更新 PHP,或无法从 PHP-FPM 切换到另一个 CGI 处理器。

修复建议

将 PHP 7.1.X 更新至 7.1.33 https://github.com/php/php-src/releases/tag/php-7.1.33

将 PHP 7.2.X 更新至 7.2.24 https://github.com/php/php-src/releases/tag/php-7.2.24

将 PHP 7.3.X 更新至 7.3.11 https://github.com/php/php-src/releases/tag/php-7.3.11

关于漏洞的详细分析可查看 https://paper.seebug.org/1063/

原创文章,发布者:酷番叔,转转请注明出处:https://www.kufanyun.com/news/4427.html

(0)
酷番叔酷番叔
上一篇 2019年10月29日 22:18
下一篇 2019年11月2日 22:20

相关推荐

  • 雅虎母公司Verizon全新搜索引擎OneSearch进军市场?

      1月15日 消息:日前,雅虎母公司Verizon 推出了一个全新的没有引用雅虎品牌的搜索引擎OneSearch,官方承诺新搜索引擎不会与广告商分享用户的搜索结果,也不会根据用户的搜索历史定制搜索结果。 Verizon Media消费产品主管迈克尔•阿尔伯斯(Michael Albers)在一份声明中表示,在one earch上,用户可以“更有信…

    2020年1月15日
    3200
  • 腾讯云大数据《2019年DDoS威胁报告》最受伤行业?

      数字化浪潮下,技术能力不断的革新,云计算因成本低、高配置以及安全等配套服务的突出优势,成为越来越多企业数字化升级的首要选择。然而,在技术高速革新的背景下,网络空间面临的威胁也随之改变和升级。随着攻击面的增加和黑客自身技术的不断升级,越来越多的服务器、个人电脑以及IoT设备沦为黑客的攻击资源。门槛低、简单高效的DDoS攻击愈加频繁,大量黑产通过恶…

    2020年3月14日
    4400
  • 全球IPV4即将耗尽 酷番云将加速推进IPv6部署

      11月26日 消息:11 月 25 日下午,Nikolas Pediaditis在一份电子邮件中宣布:全球 43 亿个IPv4 地址已经正式分配完毕。这意味着没有更多的IPv4 地址可以分配给ISP和其他大型网络基础设施提供商。该过程自 80 年代以来就已预见到,顶级地址实际上已经在 2012 年耗尽。 以下是消息原文: 亲爱的同事们:今天下午…

    2019年11月26日
    2600
  • 站长必知SEO算法,百度搜索”劲风算法”即将上线?

    劲风算法即将上线,根据百度发文预知,所谓的就是很多没有用的类似文章,这个聚合页没有任何实际有效的内容反馈给你,只有一个标题跟你所搜索的一样。 近期,百度搜索技术团队发现,部分网站及智能小程序通过恶意构造聚合页面内容来获取搜索排名,获得搜索用户关注。为了保障搜索用户的体验、保证搜索结果公平,百度搜索将于近期上线劲风算法,控制恶意构造聚合页的问题对搜索用户的影响…

    2020年2月27日
    5800
  • 在上云的时代:技术革新才是重点!

      上云目前成为潮流,云的功用价值进一步开释,云计算将逐步从潮流转变为企业实践的举动,深度、力度、广泛性继续增强,企业使用云服务器成为一种高频行为。简单的讲,中小企业的数据每时每刻都跑在云上。云服务器在企业的浸透,云工作、云存储、云办理等多样化、多元化的开展。云服务器的应用场景不断拓宽,企业随时随地都需求云来协助运营、办理,云服务器也成为一种必不可…

    2018年11月6日
    4100

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注

联系我们

400-990-9934

在线咨询: QQ交谈

邮件:HI@NOTICE.KUFANYUN.COM

关注微信