CVE-2019-11043

Descrizione della vulnerabilità In Nginx, fastcgi split path info, quando elabora richieste contenenti %0a, a causa del carattere di nuova riga \n, PATH INFO diventa vuoto. Inoltre, php-fpm, quando gestisce PATH INFO vuoto, presenta un difetto logico. Un attaccante, attraverso una costruzione e uno sfruttamento accurati, può causare l'esecuzione remota di codice.

Ambito di impatto I server con Nginx + php-fpm, se utilizzano la seguente configurazione, potrebbero presentare la vulnerabilità di esecuzione remota di codice.

location ~ [^ /小.php(/|$) {
fastcgi split path info ^(.+ ?\.php)(.*)$;
fastcgi param PATH INFO $fastcgi path info;fastcgi pass php:9000;
}

Rilevamento della vulnerabilità Metodo 1: Rilevamento tramite script phuip-fpizdam

0x01 Installazione di phuip-fpizdam su Mac

go get github.com/neex/phuip-fpizdam
go install github.com/neex/phuip-fpizdam
➜  ~ cd ./go
➜  go go get github.com/neex/phuip-fpizdam
➜  go go install github.com/neex/phuip-fpizdam
➜  go ls
bin src
➜  go cd bin
➜  bin ls
phuip-fpizdam
➜  bin file phuip-fpizdam 
phuip-fpizdam: Mach-O 64-bit executable x86_64

➜  bin ls -lah phuip-fpizdam 
-rwxr-xr-x  1 alewong  staff   9.3M 10 24 10:54 phuip-fpizdam

step 2

bin ./phuip-fpizdam

Error: accepts 1 arg(s), received 0
Usage:
  phuip-fpizdam [url] [flags]

Flags:

      --cookie string       send this cookie
  -h, --help                help for phuip-fpizdam
      --kill-count int      how many times to send the worker killing payload (default 50)
      --kill-workers        just kill php-fpm workers (requires only QSL)
      --method string       detect method (see detect_methods.go) (default "session.auto_start")
      --only-qsl            stop after QSL detection, use this if you just want to check if the server is vulnerable
      --pisos int           pisos hint
      --qsl int             qsl hint
      --reset-retries int   how many retries to do for --reset-setting, -1 means a lot (default 50)
      --reset-setting       try to reset setting (requires attack params)
      --setting string      specify custom php.ini setting for --reset-setting
      --skip-attack         skip attack phase
      --skip-detect         skip detection phase
2019/10/24 10:56:18 accepts 1 arg(s), received 0

0x03 Verifica dell'URL di destinazione

step 3 Si può vedere che il risultato restituito è 202, successo.

0x04 Visualizzazione della situazione della pagina web step 4

step 5

Metodo 2: Rilevamento tramite script Python step 7

step 6 Idea dello script: quando la soglia Q raggiunge un certo valore, ad esempio 1800, viene restituito 502, dimostrando che la vulnerabilità esiste.

Risultato dell'esecuzione: step 8

Coerente con il risultato di Burp Suite step 9

PHP-FPM-Remote-Code-Execution-Vulnerability-CVE-2019-11043-

Più Popolari