最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

 

据外媒 ZDNet 的报道,PHP 7.x 中最近修复的一个远程代码执行漏洞正被恶意利用,并会导致攻击者控制服务器。编号为 CVE-2019-11043 的漏洞允许攻击者通过向目标服务器发送特制的 URL,即可在存在漏洞的服务器上执行命令。漏洞利用的 PoC 代码也已在 GitHub 上发布。

最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

一旦确定了易受攻击的目标,攻击者便可以通过在 URL 中附加 ‘?a=’ 以发送特制请求到易受攻击的 Web 服务器

幸运的是,并非所有的 PHP Web 服务器都受到影响。据介绍,仅启用了 PHP-FPMNGINX 服务器容易受到攻击。PHP-FPM 代表 FastCGI Process Manager,是具有某些附加功能的 PHP FastCGI 替代实现。它不是 nginx 的标准组件,但部分 Web 托管商仍会将其作为标准 PHP 托管环境的一部分。

最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

Web 托管商 Nextcloud 就是其中一个例子,该公司于10月24日向其客户发出安全警告,督促客户将 PHP 更新至最新版本 7.3.11 和 7.2.24,其中包含针对 CVE-2019-11043 漏洞的修复程序。另外,许多其他虚拟主机供应商也被怀疑正在运行易受攻击的 nginx + PHP-FPM 组合。

但是也有一些网站由于技术限制而无法更新 PHP,或无法从 PHP-FPM 切换到另一个 CGI 处理器。

修复建议

将 PHP 7.1.X 更新至 7.1.33 https://github.com/php/php-src/releases/tag/php-7.1.33

将 PHP 7.2.X 更新至 7.2.24 https://github.com/php/php-src/releases/tag/php-7.2.24

将 PHP 7.3.X 更新至 7.3.11 https://github.com/php/php-src/releases/tag/php-7.3.11

关于漏洞的详细分析可查看 https://paper.seebug.org/1063/

原创文章,发布者:酷番叔,转转请注明出处:https://www.kufanyun.com/news/4427.html

(0)
酷番叔酷番叔
上一篇 2019年10月29日 22:18
下一篇 2019年11月2日 22:20

相关推荐

  • 关于调整非经营性互联网信息服务网站备案编号规则的公告

    近日,工信部发布了《关于调整非经营性互联网信息服务备案编号规则的通知》 (工信管函[2019]633号)要求,为进一步落实网络实名管理要求,加强非经营性互联网信息服务备案域名管理工作,现定于2019年4月22日起对现有ICP备案编号规则进行调整,调整后规则为“一个域名对应一个备案编号(即:网站备案号)”,新申请ICP备案编号按照新规则发放,已备案ICP的编号…

    2019年5月7日
    200
  • 2019中国互联网发展报告指出:互联网普及率达 61.2%

    10 月 21 日消息:据新京报报道,昨日第六届世界互联网大会举行新闻发布会,发布了《中国互联网发展报告 2019》。 报告显示,截至 2019 年 6 月,中国网民规模为 8.54 亿人,其中农村 网民规模达2.25亿人,占网民总数的26.3%,较2018年年底增长305万人,半年增长率为1.4%。互联网普及率达 61.2%,网站数量 518 万个。 其中…

    2019年10月16日
    900
  • 中国域名根服务器来了,网络管理降开启新篇章!

    据工信部网站 6 月 26 日消息,工业和信息化部发布关于同意中国互联网络信息中心设立域名根服务器(F、I、K、L 根镜像服务器)及域名根服务器运行机构的批复。 域名根服务器的重要性  从事互联网行业的朋友都知道域名根服务器的重要性,域名根 服务器 是目前互联网最重要的基础之一,负责全球互联网域名根服务器、域名体系和 IP 地址等的管理,例如在浏览器地址栏输…

    2019年6月28日
    400
  • 雅虎宣布将「雅虎群组」(Yahoo Groups)逐步关闭网站

      雅虎(英文名称:Yahoo!,NASDAQ:YHOO)是美国著名的互联网门户网站,也是20世纪末互联网奇迹的创造者之一。其服务包括搜索引擎、电邮、新闻等,业务遍及24个国家和地区,为全球超过5亿的独立用户提供多元化的网络服务。同时也是一家全球性的因特网通讯、商贸及媒体公司。雅虎是全球第一家提供因特网导航服务的网站,总部设在美国加州圣克拉克市,在…

    2019年10月20日
    300
  • 哪里的虚拟主机比较好,如何选择最优性价比的 ?

    哪里的虚拟主机比较好,如何选择最优性价比的 推荐您看看下面的几条,再做选择 一、虚拟主机速度 这个是我们最关心的,一般的虚拟主机服务商都有演示的IP或者站点,咱们就可以Ping它, 看它的链接速度如何,一般的话国内的60MS,国外的200MS左右的话都算正常的, 当然这个只是一个大方面,还需要打开站点测试一下,注意能选择双线或者BGP空间最好,因为现在国内很…

    1天前
    200

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注

联系我们

400-990-9934

在线咨询: QQ交谈

邮件:HI@NOTICE.KUFANYUN.COM

关注微信