bayazid-bit/cve-2019-11043CVE-2019–11043: PHP-FPM Nginx Vulnerabilità di esecuzione di codice remoto
CVE-2019–11043 è una vulnerabilità di esecuzione remota di codice (RCE). Colpisce PHP-FPM, un gestore di processi FastCGI comunemente utilizzato con i server web Nginx. Il difetto deriva da un'analisi inadeguata delle limitazioni del buffer di PHP-FPM durante la gestione delle richieste attraverso la connessione Nginx. Un attaccante può sfruttare questa vulnerabilità inviando una richiesta HTTP manipolata che consente di eseguire codice sul server interessato.
L'impatto è significativo: uno sfruttamento riuscito può portare a un compromesso totale del sistema, consentendo agli attaccanti di: eseguire comandi in remoto, divulgare dati identificativi come log, account, dati utente, ecc., e sfruttare il server compromesso per attacchi successivi a un'organizzazione, come attacchi DDoS o per muoversi più in profondità nello spazio di rete specificato.
Di solito colpisce gli host che ospitano applicazioni PHP in ambienti di produzione con una configurazione errata di Nginx-PHP-FPM, il che rende la minaccia comune e facile da sfruttare.
La vulnerabilità PHP-FPM CVE-2019–11043 è stata annunciata nell'ottobre 2019 dal team che l'ha scoperta durante l'audit di sicurezza di questo software open-source. Subito dopo, i ricercatori hanno creato un proof of concept per mostrare come può essere sfruttata per ottenere facilmente l'esecuzione remota di codice. Dopo la divulgazione, ma poiché si trattava di un difetto critico che richiedeva l'aggiornamento di componenti infrastrutturali fondamentali (Nginx e PHP), molti server sono rimasti esposti alla vulnerabilità a causa del tempo necessario per implementare e rendere efficaci le patch. Questo difetto è stato rapidamente incorporato in strumenti come Metasploit, dove i penetration tester possono utilizzarlo con relativa facilità.
La vulnerabilità ha ricevuto maggiore attenzione perché è facile da sfruttare, e una volta che un hacker ci riesce, ottiene un controllo quasi completo sul sistema della vittima. Pertanto, CVE-2019–11043 ha continuato a essere sfruttata dagli attaccanti per diversi mesi dopo la divulgazione.
CVE-2019–11043 può essere sfruttata utilizzando questo exploit.
python3 CVE-2019-11043.py <target url>
aprirà una shell per te
L'attaccante utilizza un URL pertinente per effettuare una richiesta HTTP manipolata verso il server Nginx per overfloware un buffer designato. Esecuzione Remota di Codice: Dopo che questa richiesta viene elaborata, il sistema è soggetto a un overflow di memoria; l'attaccante ottiene quindi il controllo completo dell'esecuzione sul sistema. Accesso: Nella shell di sistema, l'attaccante può eseguire una serie di azioni che includono il download di malware, la copia di dati e la modifica delle configurazioni del server.