bayazid-bit/cve-2019-11043CVE-2019–11043: Vulnerabilidad de ejecución remota de código en PHP-FPM Nginx
CVE-2019–11043 es una vulnerabilidad de ejecución remota de código (RCE). Afecta a PHP-FPM, que es un administrador de procesos FastCGI comúnmente utilizado con servidores web Nginx. El fallo surge de un análisis inadecuado de las limitaciones de búfer de PHP-FPM al manejar solicitudes a través de la conexión Nginx. Un atacante puede aprovechar esto enviando una solicitud HTTP que puede ser manipulada, permitiéndole ejecutar código en el servidor afectado.
El impacto es significativo: cuando se explota con éxito, puede resultar en un compromiso total del sistema, lo que permite a los atacantes: ejecutar comandos de forma remota, filtrar datos de identificación como registros, cuentas, datos de usuario, etc., y explotar el servidor comprometido para ataques posteriores contra una organización, como ataques DDoS o para moverse más profundamente en el espacio de red especificado.
Generalmente afecta a los hosts que alojan aplicaciones PHP en entornos de producción debido a una mala configuración de Nginx-PHP-FPM, lo que hace que esta amenaza sea común y fácil de explotar.
La vulnerabilidad PHP-FPM CVE-2019–11043 fue anunciada en octubre de 2019 por el equipo que la encontró durante la auditoría de seguridad de este software de código abierto. Poco después, los investigadores crearon un exploit de prueba de concepto para demostrar cómo se puede explotar para lograr una ejecución remota de código con facilidad. Después de la divulgación, y dado que era un fallo crítico que implicaba actualizar componentes de infraestructura centrales (Nginx y PHP), muchos servidores quedaron expuestos a la vulnerabilidad debido al tiempo que lleva implementar y poner en vigor las actualizaciones de parches. Este fallo fue incorporado rápidamente en herramientas como Metasploit, donde los pentesters pueden utilizarlo con relativa facilidad.
La vulnerabilidad recibió más atención porque es fácil de explotar y, una vez que un hacker lo logra, obtiene casi el control total sobre el sistema de la víctima. Por lo tanto, CVE-2019–11043 continuó siendo explotada por atacantes durante varios meses después de su divulgación.
CVE-2019–11043 puede explotarse utilizando este exploit.
python3 CVE-2019-11043.py <target url>
te abrirá una shell
El atacante utiliza una URL relevante para realizar una solicitud HTTP manipulada hacia el servidor Nginx con el fin de desbordar un búfer designado. Ejecución remota de código: después de que esta solicitud es procesada, el sistema es susceptible a un desbordamiento de memoria; el atacante entonces controla la ejecución completa en el sistema. Obteniendo acceso: en la shell del sistema, el atacante puede realizar una variedad de acciones que incluyen la descarga de malware, la copia de datos y la alteración de las configuraciones del servidor.