bayazid-bit/cve-2019-11043CVE-2019–11043: PHP-FPM Nginx Schwachstelle zur Remote-Code-Ausführung
CVE-2019–11043 ist eine Schwachstelle zur Remote-Code-Ausführung (RCE). Sie betrifft PHP-FPM, einen FastCGI-Prozessmanager, der häufig mit Nginx-Webservern verwendet wird. Der Fehler entsteht durch unzureichende Verarbeitung der Pufferbegrenzung von PHP-FPM bei der Bearbeitung von Anfragen über die Nginx-Verbindung. Ein Angreifer kann dies ausnutzen, indem er eine manipulierte HTTP-Anfrage sendet, die es ermöglicht, Code auf dem betroffenen Server auszuführen.
Die Auswirkungen sind erheblich: Bei erfolgreicher Ausnutzung kann dies zu einer vollständigen Systemkompromittierung führen, die es Angreifern ermöglicht: Befehle remote auszuführen, Identifikationsdaten wie Logs, Konten, Benutzerdaten usw. preiszugeben und den kompromittierten Server für weitere Angriffe auf eine Organisation zu nutzen, wie z. B. DDoS-Angriffe oder um tiefer in das angegebene Netzwerk einzudringen.
Es betrifft in der Regel Hosts, die PHP-Anwendungen in Produktionsumgebungen hosten, und zwar aufgrund einer Fehlkonfiguration von Nginx-PHP-FPM, was die Bedrohung durch Kompromittierung häufig und einfach ausnutzbar macht.
Die Schwachstelle PHP-FPM CVE-2019–11043 wurde im Oktober 2019 von dem Team angekündigt, das sie während der Sicherheitsüberprüfung dieser Open-Source-Software entdeckt hatte. Kurz darauf erstellten die Forscher einen Proof-of-Concept-Exploit, um zu zeigen, wie sie einfach ausgenutzt werden kann, um eine Remote-Code-Ausführung zu erreichen. Nach der Offenlegung, aber da es sich um einen kritischen Fehler handelte, der die Aktualisierung von Kerninfrastrukturkomponenten (Nginx und PHP) erforderte, blieben viele Server aufgrund der Zeit, die für die Implementierung und Inkraftsetzung von Patch-Updates benötigt wird, anfällig für die Schwachstelle. Dieser Fehler wurde schnell in Tools wie Metasploit integriert, die von Penetrationstestern relativ einfach genutzt werden können.
Die Schwachstelle erhielt mehr Aufmerksamkeit, weil sie leicht auszubeuten ist, und sobald ein Hacker dies erreicht hat, erlangt er fast vollständige Kontrolle über das System des Opfers. Daher wurde CVE-2019–11043 auch noch mehrere Monate nach der Offenlegung der Schwachstelle von Angreifern ausgenutzt.
CVE-2019–11043 kann mit diesem Exploit ausgenutzt werden.
python3 CVE-2019-11043.py <target url>
Es öffnet eine Shell für Sie
Der Angreifer verwendet eine relevante URL, um eine manipulierte HTTP-Anfrage an den Nginx-Server zu senden, um einen bestimmten Puffer zum Überlaufen zu bringen. Remote-Code-Ausführung: Nachdem diese Anfrage verarbeitet wurde, ist das System anfällig für einen Speicherüberlauf, der Angreifer erlangt dann die vollständige Ausführungskontrolle über das System. Zugriffserlangung: In der System-Shell kann der Angreifer eine Reihe von Aktionen durchführen, darunter das Herunterladen von Malware, das Kopieren von Daten und die Änderung von Serverkonfigurationen.