最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

 

据外媒 ZDNet 的报道,PHP 7.x 中最近修复的一个远程代码执行漏洞正被恶意利用,并会导致攻击者控制服务器。编号为 CVE-2019-11043 的漏洞允许攻击者通过向目标服务器发送特制的 URL,即可在存在漏洞的服务器上执行命令。漏洞利用的 PoC 代码也已在 GitHub 上发布。

最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

一旦确定了易受攻击的目标,攻击者便可以通过在 URL 中附加 ‘?a=’ 以发送特制请求到易受攻击的 Web 服务器

幸运的是,并非所有的 PHP Web 服务器都受到影响。据介绍,仅启用了 PHP-FPMNGINX 服务器容易受到攻击。PHP-FPM 代表 FastCGI Process Manager,是具有某些附加功能的 PHP FastCGI 替代实现。它不是 nginx 的标准组件,但部分 Web 托管商仍会将其作为标准 PHP 托管环境的一部分。

最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

Web 托管商 Nextcloud 就是其中一个例子,该公司于10月24日向其客户发出安全警告,督促客户将 PHP 更新至最新版本 7.3.11 和 7.2.24,其中包含针对 CVE-2019-11043 漏洞的修复程序。另外,许多其他虚拟主机供应商也被怀疑正在运行易受攻击的 nginx + PHP-FPM 组合。

但是也有一些网站由于技术限制而无法更新 PHP,或无法从 PHP-FPM 切换到另一个 CGI 处理器。

修复建议

将 PHP 7.1.X 更新至 7.1.33 https://github.com/php/php-src/releases/tag/php-7.1.33

将 PHP 7.2.X 更新至 7.2.24 https://github.com/php/php-src/releases/tag/php-7.2.24

将 PHP 7.3.X 更新至 7.3.11 https://github.com/php/php-src/releases/tag/php-7.3.11

关于漏洞的详细分析可查看 https://paper.seebug.org/1063/

原创文章,发布者:酷番叔,转转请注明出处:https://www.kufanyun.com/news/4427.html

(0)
酷番叔酷番叔
上一篇 2019年10月29日 22:18
下一篇 2019年11月2日 22:20

相关推荐

  • CVM云主机的优点和缺点是什么?

    云主机优点 (1)价格便宜 因为服务可以分布到多个服务器,所以可以充分利用资源,从而降低硬件、电源和维护成本。此外,CVM服务器是按用途收费的,使用更多,费用更低,因此它对小型网站尤其有利。   (2)稳定可靠 由于该服务分布在多台服务器上,甚至在多台机房中,因此不容易完全停机,具有很强的容灾能力,可以保证长期的在线运行。   (3)可扩…

    2025年5月16日
    47700
  • 服务器攻击是什么?有那些类型?为什么要选择高防御服务器?

    防止想DDOS之类的大流量攻击,当今的DDoS攻击更具破坏性,目的性也更加明确。 这些攻击可以轻易的躲避过常见防护技术或者设备的检查,甚至直接打击通用的防护设备本身。 使用看似合法的链接请求、利用大量的僵尸主机、发送携带伪造标识的数据报文等手段使得对攻击的辨别和阻断愈来愈困难。 而常见的也容易实施的SYN攻击是利用TCP协议缺陷,通过发送大量的半连接请求,耗…

    2025年5月15日
    30500
  • 什么是域名,你们对域名的理解和看法

      域名(Domain Name),是由一串用点分隔的名字组成的Internet(互联网)上某一台计算机或计算机组的名称,用于在数据传 输时标识计算机的电子方位,来自互联网平台。域名由两个或两个以上的词构成,中间由点号分隔开,域名由各国文字的特定字符集、英文字母、数字及“ – ” 任意组合而成,但开头及结尾均不能含有“ – …

    2025年5月16日
    31000
  • 优化提升服务器安全性能防护的几点重要建议

    日前,万豪国际集团(以下简称“万豪”)官方微博发布声明称,该公司旗下喜达屋酒店的客房预订数据库被黑客入侵,在2018年9月10日或之前曾在该酒店预订的最多约5亿名客人的信息或被泄露。   如今,随着黑客技术的发展,服务器被攻击的事件屡见不鲜,我们没有办法彻底解决网络安全问题,但可以不断加强防护,提高服务器的抵御能力。 那么,我们要如何提升服务器的安…

    2018年12月8日
    32500
  • 腾讯云大数据《2019年DDoS威胁报告》最受伤行业?

      数字化浪潮下,技术能力不断的革新,云计算因成本低、高配置以及安全等配套服务的突出优势,成为越来越多企业数字化升级的首要选择。然而,在技术高速革新的背景下,网络空间面临的威胁也随之改变和升级。随着攻击面的增加和黑客自身技术的不断升级,越来越多的服务器、个人电脑以及IoT设备沦为黑客的攻击资源。门槛低、简单高效的DDoS攻击愈加频繁,大量黑产通过恶…

    2020年3月14日
    38300

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注

联系我们

400-990-9934

在线咨询: QQ交谈

邮件:HI@NOTICE.KUFANYUN.COM

关注微信