bayazid-bit/cve-2019-11043CVE-2019–11043: PHP-FPM Nginx リモートコード実行の脆弱性
CVE-2019–11043はリモートコード実行（RCE）の脆弱性です。これは、Nginx Webサーバーとよく一緒に使用されるFastCGIプロセスマネージャであるPHP-FPMに影響を与えます。この欠陥は、Nginx接続を介したリクエスト処理時におけるPHP-FPMのバッファ制限の不適切な解析に起因します。攻撃者は、操作可能なHTTPリクエストを送信することでこれを悪用し、影響を受けるサーバー上でコードを実行できます。
影響は重大です。悪用に成功すると、システム全体が危険にさらされ、攻撃者は以下を実行できます：リモートでコマンドを実行する、ログ、アカウント、ユーザーデータなどの識別データを漏洩させる、そして、被害を受けたサーバーを悪用して、組織に対するDDoS攻撃などの後続の攻撃や、指定されたネットワーク空間内でのさらなる侵入口へと進むことです。
通常、本番環境でPHPアプリケーションをホストしているホストに影響を与えます。Nginx-PHP-FPMの設定ミスにより、侵害の脅威が一般的で容易に悪用可能となっています。
脆弱性PHP-FPM CVE-2019–11043は、2019年10月に、このオープンソースソフトウェアのセキュリティ監査中に発見したチームによって公表されました。その後すぐに、研究者たちは概念実証（PoC）エクスプロイトを作成し、リモートコード実行を容易に達成できる方法を示しました。開示後、これはコアインフラストラクチャコンポーネント（NginxとPHP）の更新を伴う重大な欠陥であったため、パッチ更新の実装と適用に時間がかかることから、多くのサーバーが脆弱性にさらされたままでした。この欠陥はMetasploitなどのツールにすぐに組み込まれ、ペネトレーションテスターが比較的容易に利用できるようになりました。
この脆弱性は悪用が容易であり、ハッカーがそれを達成すると被害者のシステムのほぼ完全な制御を得られるため、より注目を集めました。そのため、CVE-2019–11043は、脆弱性開示後も数か月にわたって攻撃者に悪用され続けました。
CVE-2019–11043は、このエクスプロイトを使用して悪用できます。
python3 CVE-2019-11043.py <target url>
シェルが開きます
攻撃者は関連するURLを使用して、Nginxサーバーに向けて細工されたHTTPリクエストを実行し、指定されたバッファをオーバーフローさせます。 リモートコード実行: このリクエストが処理された後、システムはメモリオーバーフローに対して脆弱になり、攻撃者はシステム上で完全な実行制御を得ます。 アクセスの獲得: システムシェルにおいて、攻撃者はマルウェアのダウンロード、データのコピー、サーバー設定の変更など、さまざまなアクションを実行できます。