最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

 

据外媒 ZDNet 的报道,PHP 7.x 中最近修复的一个远程代码执行漏洞正被恶意利用,并会导致攻击者控制服务器。编号为 CVE-2019-11043 的漏洞允许攻击者通过向目标服务器发送特制的 URL,即可在存在漏洞的服务器上执行命令。漏洞利用的 PoC 代码也已在 GitHub 上发布。

最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

一旦确定了易受攻击的目标,攻击者便可以通过在 URL 中附加 ‘?a=’ 以发送特制请求到易受攻击的 Web 服务器

幸运的是,并非所有的 PHP Web 服务器都受到影响。据介绍,仅启用了 PHP-FPMNGINX 服务器容易受到攻击。PHP-FPM 代表 FastCGI Process Manager,是具有某些附加功能的 PHP FastCGI 替代实现。它不是 nginx 的标准组件,但部分 Web 托管商仍会将其作为标准 PHP 托管环境的一部分。

最新PHP7.x的PHP-FPM 存在远程代码执行漏洞

Web 托管商 Nextcloud 就是其中一个例子,该公司于10月24日向其客户发出安全警告,督促客户将 PHP 更新至最新版本 7.3.11 和 7.2.24,其中包含针对 CVE-2019-11043 漏洞的修复程序。另外,许多其他虚拟主机供应商也被怀疑正在运行易受攻击的 nginx + PHP-FPM 组合。

但是也有一些网站由于技术限制而无法更新 PHP,或无法从 PHP-FPM 切换到另一个 CGI 处理器。

修复建议

将 PHP 7.1.X 更新至 7.1.33 https://github.com/php/php-src/releases/tag/php-7.1.33

将 PHP 7.2.X 更新至 7.2.24 https://github.com/php/php-src/releases/tag/php-7.2.24

将 PHP 7.3.X 更新至 7.3.11 https://github.com/php/php-src/releases/tag/php-7.3.11

关于漏洞的详细分析可查看 https://paper.seebug.org/1063/

原创文章,发布者:酷番叔,转转请注明出处:https://www.kufanyun.com/news/4427.html

(0)
酷番叔酷番叔
上一篇 2019年10月29日 22:18
下一篇 2019年11月2日 22:20

相关推荐

  • 在上云的时代:技术革新才是重点!

      上云目前成为潮流,云的功用价值进一步开释,云计算将逐步从潮流转变为企业实践的举动,深度、力度、广泛性继续增强,企业使用云服务器成为一种高频行为。简单的讲,中小企业的数据每时每刻都跑在云上。云服务器在企业的浸透,云工作、云存储、云办理等多样化、多元化的开展。云服务器的应用场景不断拓宽,企业随时随地都需求云来协助运营、办理,云服务器也成为一种必不可…

    2018年11月6日
    20800
  • 最新Windows远程桌面服务高危漏洞预警通告

    2019年5月14日,微软公布了5月的补丁更新列表,其中存在一个被标记为严重的RDP(远程桌面服务)远程代码执行漏洞,攻击者可以利用此漏洞,无需用户验证而发送构造特殊的恶意数据在目标系统上执行恶意代码,从而获取机器的完全控制。   此漏洞主要影响的设备为Windows 7、Window Server 2008以及微软已不再支持的Windows 20…

    2019年5月15日
    22900
  • 了解如何保护云计算免受恶意软件攻击

    近年来,人们已经看到或经历过大规模的恶意软件攻击,每一次发生的新事件都是对商业领袖的一个严峻提醒,黑客攻击不会放松。然而,随着云采用在企业中迅速增长,恶意软件感染蔓延并导致潜在破坏的可能性正在增加。 根据研究机构波洛蒙研究所进行的一项研究,近90%的企业认为云计算应用的增加会增加数据泄露的可能性,而且这种趋势不会很快消失。随着移动性和灵活性继续成为现代工作场…

    2025年5月15日
    22600
  • Google 短连接new 将于近期开放第三方申请使用

    说起来常见的短网址,一般就是百度短连接,新浪短连接,微博短连接,等 短连接的优点是显而易见的。 ①便于数据统计,每个地址生成短连接方便数据维护等。 ②简化二维码 ③缩短内容长度 ④降低权重传递 在近期的报道中早在一年前 Google 就为 Google 文档、幻灯片和表格等自家服务引入了方便的「.new」短网址快捷方式,用户可直播通过在浏览器的地址栏中键入「…

    2019年12月9日
    21700
  • 云服务器和VPS有什么区别,怎么选择?

      酷番云(kufanyun.com)今天和大家共同了解一下,云服务器和vps有什么区别,因为这个问题困扰了很多网络界、站长界的朋友,个人或者企业用户经常面对云服务器和VPS的对比,不知道该如何选择。希望看完这篇文章,能让大家选购时有一个更合适的取舍。 1、什么是独立服务器?   可以理解为一台高配置电脑主机,只是它没有显示器,而且能耗比…

    2025年5月14日
    41600

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注

联系我们

400-990-9934

在线咨询: QQ交谈

邮件:HI@NOTICE.KUFANYUN.COM

关注微信