最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

 

据外媒 ZDNet 的报道,PHP 7.x 中最近修复的一个远程代码执行漏洞正被恶意利用,并会导致攻击者控制服务器。编号为 CVE-2019-11043 的漏洞允许攻击者通过向目标服务器发送特制的 URL,即可在存在漏洞的服务器上执行命令。漏洞利用的 PoC 代码也已在 GitHub 上发布。

最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

一旦确定了易受攻击的目标,攻击者便可以通过在 URL 中附加 ‘?a=’ 以发送特制请求到易受攻击的 Web 服务器

幸运的是,并非所有的 PHP Web 服务器都受到影响。据介绍,仅启用了 PHP-FPMNGINX 服务器容易受到攻击。PHP-FPM 代表 FastCGI Process Manager,是具有某些附加功能的 PHP FastCGI 替代实现。它不是 nginx 的标准组件,但部分 Web 托管商仍会将其作为标准 PHP 托管环境的一部分。

最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

Web 托管商 Nextcloud 就是其中一个例子,该公司于10月24日向其客户发出安全警告,督促客户将 PHP 更新至最新版本 7.3.11 和 7.2.24,其中包含针对 CVE-2019-11043 漏洞的修复程序。另外,许多其他虚拟主机供应商也被怀疑正在运行易受攻击的 nginx + PHP-FPM 组合。

但是也有一些网站由于技术限制而无法更新 PHP,或无法从 PHP-FPM 切换到另一个 CGI 处理器。

修复建议

将 PHP 7.1.X 更新至 7.1.33 https://github.com/php/php-src/releases/tag/php-7.1.33

将 PHP 7.2.X 更新至 7.2.24 https://github.com/php/php-src/releases/tag/php-7.2.24

将 PHP 7.3.X 更新至 7.3.11 https://github.com/php/php-src/releases/tag/php-7.3.11

关于漏洞的详细分析可查看 https://paper.seebug.org/1063/

原创文章,发布者:酷番叔,转转请注明出处:https://www.kufanyun.com/news/4427.html

(0)
酷番叔酷番叔
上一篇 2019年10月29日 22:18
下一篇 2019年11月2日 22:20

相关推荐

  • 雅虎宣布将「雅虎群组」(Yahoo Groups)逐步关闭网站

      雅虎(英文名称:Yahoo!,NASDAQ:YHOO)是美国著名的互联网门户网站,也是20世纪末互联网奇迹的创造者之一。其服务包括搜索引擎、电邮、新闻等,业务遍及24个国家和地区,为全球超过5亿的独立用户提供多元化的网络服务。同时也是一家全球性的因特网通讯、商贸及媒体公司。雅虎是全球第一家提供因特网导航服务的网站,总部设在美国加州圣克拉克市,在…

    2019年10月20日
    45500
  • 首例云服务器侵权案,阿里云不担责 ?

    原标题:国内首例云服务器侵权案二审改判 阿里云不担责 三言财经6月21日消息,昨日,国内“首例云服务器知识产权侵权案件”二审改判,北京知识产权法院驳回一审原告的所有诉讼请求,阿里云公司不承担法律责任。 据媒体报道,2017年6月,北京市石景山区人民法院对一家名为乐动卓越的游戏公司起诉阿里云侵犯信息网络传播权一案作出一审判决。阿里云败诉,被法院认定构成侵权,需…

    2019年6月23日
    48200
  • 5种方式的变化将在云计算行业巧妙的发生

    调研机构Forrester公司的一份调查陈述表明,云计算 不再是一项全新的技术,而是进入了发展成熟的早期阶段。该陈述称,云计算不再仅仅是一个临时服务器,它集成了创新的分析、机器学习、消息传递、物联网(IoT)功能、数据库等功能。 随着云计算的开展并发展成熟,它被用作企业内部许多数字化转型工作的起始之点,特别是当它迁移到数据中心之外时。下面这是Forreste…

    2018年11月18日
    46500
  • 为什么说云主机性价比高?

    首先,你需要了解什么是服务器、传统服务器和云服务器。         服务器,也称伺服器,是提供计算服务的设备。由于服务器需要响应服务请求,并进行处理,因此一般来说服务器应具备承担服务并且保障服务的能力。 传统服务器的构成包括处理器、硬盘、内存、系统总线等,和通用的计算机架构类似,主机在一个大型的恒温机房进行运维和管理,但是由于需要提供高可靠的服务,因此在处…

    2025年5月15日
    44100
  • 什么是虚拟主机,它和服务器的区别是什么 ?

      云服务器与虚拟主机是一样的吗?是不是选择其中一个就可以了?那个更好好用一点呢?这个问题很多小伙伴不是太明白,其实不用这么麻烦的,因为只有自己需要的是什么服务器才是好的服务器,不过在这之前你一定要知道云服务器是什么?虚拟主机是什么?这两个问题,还要知道云服务器与虚拟主机区别是什么,只有真正了解它们,才能选出自己真正需要的产品才能真正的合适自己。 …

    2025年5月16日
    40500

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注

联系我们

400-990-9934

在线咨询: QQ交谈

邮件:HI@NOTICE.KUFANYUN.COM

关注微信