Non è noto che questo sia vulnerabile da anni?

Molto tempo fa php-fpm non limitava le estensioni degli script, il che significava che qualcosa come /avatar.png/some-fake-shit.php poteva eseguire avatar.png come script PHP. Questo problema è stato corretto intorno al 2010.

Quella attuale non richiede l'upload di file, funziona nelle versioni più recenti (fino a quando la correzione è stata rilasciata) e, cosa più importante, l'exploit è molto più figo.

Come eseguirlo

Installalo usando

Se ottieni strani errori di compilazione, assicurati di usare go >= 1.13. Esegui il programma con phuip-fpizdam [url] (supponendo che tu abbia $GOPATH/bin dentro $PATH, altrimenti specifica il percorso completo del binario). Un output corretto è simile al seguente:

Dopodiché, puoi iniziare ad aggiungere ?a=<il tuo comando> a tutti gli script PHP (potrebbero servirti più tentativi).

In alternativa, puoi usare una immagine docker per eseguire l'exploit:

Ambienti di prova

Usando Docker

Se vuoi riprodurre il problema o giocare con l'exploit localmente tramite Docker, fai quanto segue:

1. Clona questo repository e vai nella directory reproducer.
2. Crea l'immagine docker usando docker build -t reproduce-cve-2019-11043 .. Ci vuole molto tempo perché internamente clona il repository di php e lo compila dal sorgente. Tuttavia, sarà più facile in questo modo se vuoi fare debug dell'exploit. La revisione compilata è quella immediatamente precedente alla correzione.
3. Esegui il docker usando docker run --rm -ti -p 8080:80 reproduce-cve-2019-11043.
4. Ora hai http://127.0.0.1:8080/script.php, che è un file vuoto.
5. Esegui l'exploit usando phuip-fpizdam http://127.0.0.1:8080/script.php
6. Se tutto è ok, sarai in grado di eseguire comandi aggiungendo ?a= allo script: http://127.0.0.1:8080/script.php?a=id. Prova più volte poiché solo alcuni worker di php-fpm sono infetti.

Usando i container di sistema LXD

Se vuoi riprodurre il problema o giocare con l'exploit localmente tramite LXD, fai quanto segue:

1. Crea due container di sistema, vulnerable e attacker. Puoi usare l'immagine del container ubuntu:18.04 per entrambi i container.
2. Nel container vulnerable, installa nginx e php-fpm. Configura il server block come questa configurazione. Crea un file vuoto /var/www/html/index.php.
3. Nel container attacker, installa il linguaggio Go (sudo snap install go --classic), clona questo repository ed esegui go build nella directory del repository.
4. Esegui l'attacco come segue: ./phuip-fpizdam http://vulnerable.lxd/index.php. Prova più tipi per infettare tutti i worker di php-fpm.

Per istruzioni più dettagliate, vedi Test di CVE-2019-11043 (vulnerabilità di sicurezza di php-fpm) con container di sistema LXD.

Riguardo a PHP5

Il buffer underflow in php-fpm è presente in PHP versione 5. Tuttavia, questa exploit fa uso di un'ottimizzazione usata per memorizzare le variabili FastCGI, _fcgi_data_seg. Questa ottimizzazione è presente solo in php 7, quindi questa particolare exploit funziona solo con php 7. Potrebbe esserci un'altra tecnica di sfruttamento che funziona con php 5.

Crediti

L'anomalia originale è stata scoperta da d90pwn durante la Real World CTF. La causa principale è stata trovata da me (Emil Lerner) così come il modo per impostare le opzioni di php.ini. Il set finale di opzioni php.ini è stato trovato da beched.

Licenza

Questa exploit è distribuita secondo i termini della Licenza MIT.

Astieniti dal causare danni con questa exploit. Ma se davvero hackerai qualcosa con questa cosa, sarò felice.