CVE-2019–11043: Уязвимость удаленного выполнения кода в PHP-FPM Nginx

Описание уязвимости и влияние

CVE-2019–11043 — это уязвимость удаленного выполнения кода (RCE). Она затрагивает PHP-FPM — менеджер процессов FastCGI, который часто используется с веб-серверами Nginx. Ошибка возникает из-за некорректного разбора ограничений буфера в PHP-FPM при обработке запросов через соединение Nginx. Злоумышленник может воспользоваться этим, отправив HTTP-запрос, который можно подделать, что позволит атакующему выполнить код на уязвимом сервере.

Влияние значительное: при успешной эксплуатации возможна полная компрометация системы, что позволяет атакующим: удаленно выполнять команды, утечка идентификационных данных, таких как журналы, учетные записи, пользовательские данные и т.д., а также использование скомпрометированного сервера для последующих атак на организацию, например DDoS-атак или перемещения глубже в заданное сетевое пространство.

Обычно это затрагивает хосты, на которых размещены PHP-приложения в производственных средах с неправильной конфигурацией Nginx-PHP-FPM, что делает угрозу компрометации распространенной и легкой для эксплуатации.

Жизненный цикл уязвимости и тенденции

Уязвимость PHP-FPM CVE-2019–11043 была объявлена в октябре 2019 года командой, которая обнаружила ее в ходе аудита безопасности этого программного обеспечения с открытым исходным кодом. Вскоре после этого исследователи создали PoC-эксплойт, демонстрирующий, как с его помощью можно легко добиться удаленного выполнения кода. После раскрытия, но поскольку это была критическая ошибка, требовавшая обновления основных компонентов инфраструктуры (Nginx и PHP), многие серверы оставались открытыми для уязвимости из-за времени, необходимого для внедрения и вступления в силу патчей. Эта ошибка быстро была включена в такие инструменты, как Metasploit, где тестировщики на проникновение могут использовать ее относительно легко.