最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

 

据外媒 ZDNet 的报道,PHP 7.x 中最近修复的一个远程代码执行漏洞正被恶意利用,并会导致攻击者控制服务器。编号为 CVE-2019-11043 的漏洞允许攻击者通过向目标服务器发送特制的 URL,即可在存在漏洞的服务器上执行命令。漏洞利用的 PoC 代码也已在 GitHub 上发布。

最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

一旦确定了易受攻击的目标,攻击者便可以通过在 URL 中附加 ‘?a=’ 以发送特制请求到易受攻击的 Web 服务器

幸运的是,并非所有的 PHP Web 服务器都受到影响。据介绍,仅启用了 PHP-FPM 的 NGINX 服务器容易受到攻击。PHP-FPM 代表 FastCGI Process Manager,是具有某些附加功能的 PHP FastCGI 替代实现。它不是 nginx 的标准组件,但部分 Web 托管商仍会将其作为标准 PHP 托管环境的一部分。

最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

Web 托管商 Nextcloud 就是其中一个例子,该公司于10月24日向其客户发出安全警告,督促客户将 PHP 更新至最新版本 7.3.11 和 7.2.24,其中包含针对 CVE-2019-11043 漏洞的修复程序。另外,许多其他虚拟主机供应商也被怀疑正在运行易受攻击的 nginx + PHP-FPM 组合。

但是也有一些网站由于技术限制而无法更新 PHP,或无法从 PHP-FPM 切换到另一个 CGI 处理器。

修复建议

将 PHP 7.1.X 更新至 7.1.33 https://github.com/php/php-src/releases/tag/php-7.1.33

将 PHP 7.2.X 更新至 7.2.24 https://github.com/php/php-src/releases/tag/php-7.2.24

将 PHP 7.3.X 更新至 7.3.11 https://github.com/php/php-src/releases/tag/php-7.3.11

关于漏洞的详细分析可查看 https://paper.seebug.org/1063/。

原创文章,发布者:酷番叔,转转请注明出处:https://www.kufanyun.com/news/4427.html

赞 (0)
酷番叔酷番叔
上一篇 2019年10月29日 22:18
下一篇 2019年11月2日 22:20

相关推荐

  • 站长必知SEO算法,百度搜索”劲风算法”即将上线?

    劲风算法即将上线,根据百度发文预知,所谓的就是很多没有用的类似文章,这个聚合页没有任何实际有效的内容反馈给你,只有一个标题跟你所搜索的一样。 近期,百度搜索技术团队发现,部分网站及智能小程序通过恶意构造聚合页面内容来获取搜索排名,获得搜索用户关注。为了保障搜索用户的体验、保证搜索结果公平,百度搜索将于近期上线劲风算法,控制恶意构造聚合页的问题对搜索用户的影响…

    2020年2月27日
    59600
  • GAY正式开放注册,同性恋后缀域名

      最近新兴通用顶级域名.GAY正式开放注册购买,费用每年大约342元人民币(费用还是不低的),不过值得一提需要注意的是,.GAY域名禁止有反对/诋毁同性恋意识的站长注册使用。关于这一点可以看看下面的。 作为一个新上线的通用顶级域名,.GAY跟其他域名一样,都可以可以用来建站使用,不过因为带有特殊意义跟同性恋相关所以.GAY跟其他顶级域名注册建站,…

    2020年9月26日
    60400
  • “工业和信息化部ICP/IP地址/域名信息备案管理系统”更换域名的公告

    关于调整“工业和信息化部ICP/IP地址/域名信息备案管理系统”域名的公告 按照国务院办公厅要求,“工业和信息化部ICP/IP地址/域名信息备案管理系统”域名调整为“beian.miit.gov.cn”。 “miitbeian.gov.cn”、“miibeian.gov.cn”等域名自2019年4月25日起停止使用。 全部切换成二级域名。详情见下面附件。 &…

    2019年4月29日
    57400
  • 2019工信部最新可备案域名后缀大全

    很多小伙伴,在备案域名的时候有很多疑问,那些不能备案,那些能备案,于是小编讲通过以下文章给大家讲讲那些域名后缀的能在国内工信部备案。 目前在国内注册的无论是新域名还是老域名,均需要实名制,各服务器要求不同,但是实名是必须的。实名登记后才可以解析。 哪些的不需要备案呢? 在国外域名商注册的不在此限,但有被禁止访问的风险。实名并不代表备案,实名后,如果需要使用国…

    2019年10月8日
    60100
  • 阿里巴巴官方字体惠普体免费开放商用,免除字体版权痛苦

      要说国内哪家互联网公司最仁义,那非阿里巴巴莫属了,最近推出了免费可供个人企业商用的字体:惠普体 这一款阿里巴巴普惠体,总共收录 116,895 个全形汉字(含 5 个字重),西文 Alibaba Sans 共 7,205 个拉丁字母 (2 种风格、共 11 个字重),覆盖 172 个语种(覆盖大部分欧语国家),可以说适应了全球大部分用户的需求。…

    2019年4月28日
    54200

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注

联系我们

400-990-9934

在线咨询: QQ交谈

邮件:HI@NOTICE.KUFANYUN.COM

关注微信