Isso não é conhecido por ser vulnerável há anos?

Há muito tempo, o php-fpm não restringia as extensões dos scripts, o que significava que algo como /avatar.png/some-fake-shit.php poderia executar avatar.png como um script PHP. Esse problema foi corrigido por volta de 2010.

O atual não requer upload de arquivo, funciona nas versões mais recentes (até a correção chegar) e, o mais importante, o exploit é muito mais legal.

Como executar

Instale usando

Se você obtiver erros estranhos de compilação, certifique-se de estar usando go >= 1.13. Execute o programa usando phuip-fpizdam [url] (supondo que você tenha o $GOPATH/bin dentro do seu $PATH; caso contrário, especifique o caminho completo para o binário). Uma saída boa se parece com isto:

Depois disso, você pode começar a acrescentar ?a=<seu comando> a todos os scripts PHP (talvez você precise de várias tentativas).

Alternativamente, você pode usar uma imagem docker para executar o exploit:

Ambientes de teste

Usando Docker

Se você quiser reproduzir o problema ou brincar com o exploit localmente via Docker, faça o seguinte:

1. Clone este repositório e vá para o diretório reproducer.
2. Crie a imagem docker usando docker build -t reproduce-cve-2019-11043 .. Isso leva muito tempo, pois clona internamente o repositório do php e o compila a partir do código-fonte. No entanto, será mais fácil assim se você quiser depurar o exploit. A revisão compilada é a imediatamente anterior à correção.
3. Execute o docker usando docker run --rm -ti -p 8080:80 reproduce-cve-2019-11043.
4. Agora você tem http://127.0.0.1:8080/script.php, que é um arquivo vazio.
5. Execute o exploit usando phuip-fpizdam http://127.0.0.1:8080/script.php
6. Se tudo estiver certo, você poderá executar comandos acrescentando ?a= ao script: http://127.0.0.1:8080/script.php?a=id. Tente várias vezes, pois apenas alguns dos workers do php-fpm estão infectados.

Usando contêineres de sistema LXD

Se você quiser reproduzir o problema ou brincar com o exploit localmente via LXD, faça o seguinte:

1. Crie dois contêineres de sistema, vulnerable e attacker. Você pode usar a imagem de contêiner ubuntu:18.04 para ambos os contêineres.
2. No contêiner vulnerable, instale nginx e php-fpm. Configure o bloco de servidor como esta configuração. Crie um arquivo vazio /var/www/html/index.php.
3. No contêiner attacker, instale a linguagem Go (sudo snap install go --classic), clone este repositório e execute go build no diretório do repositório.
4. Execute o ataque da seguinte forma: ./phuip-fpizdam http://vulnerable.lxd/index.php. Tente várias vezes para infectar todos os workers do php-fpm.

Para instruções mais detalhadas, veja Testing CVE-2019-11043 (php-fpm security vulnerability) with LXD system containers.

Sobre o PHP5

O underflow de buffer no php-fpm está presente na versão 5 do PHP. No entanto, este exploit faz uso de uma otimização usada para armazenar variáveis FastCGI, _fcgi_data_seg. Essa otimização está presente apenas no php 7, então este exploit específico funciona apenas para php 7. Pode haver outra técnica de exploração que funcione no php 5.

Créditos

Anomalia original descoberta por d90pwn durante a Real World CTF. Causa raiz encontrada por mim (Emil Lerner), assim como a maneira de definir as opções do php.ini. O conjunto final de opções do php.ini foi encontrado por beched.

Licença

Este exploit é distribuído sob os termos da MIT License.

Abstenha-se de causar qualquer dano com este exploit. Mas se você realmente invadir algo com esta ferramenta, ficarei feliz.