php-fpm haavatavus, mis võimaldab kaugelt käivitada koodi serveris.

Saadaolevad PHP 7.3.11, 7.1.33 ja 7.2.24 korrektsiooniversioonid, milles eemaldatud kriitiline haavatavus (CVE-2019-11043) PHP-FPM (FastCGI protsessihalduri) laienduses, mis võimaldab kaugjuhtimise teel oma koodi süsteemis käivitada. Rünnakuks PHP-failide töötlemisel PHP-FPM-i ja Nginx-i kombinatsioonis on juba avaldatud töötav eksploit.

Rünnak on võimalik nginx-i konfigureerimistes, kus PHP-FPM-i suunamine toimub URL-i osade jagamisega «fastcgi_split_path_info» abil ning PATH_INFO keskkonnamuutuja määratlemisega, kuid ilma, et fail oleks eelnevalt kontrollitud direktiiviga «try_files $fastcgi_script_name» või konstruktsiooniga «if (!-f $document_root$fastcgi_script_name)». Probleem on ka näitab ennast seadetes, mis on soovitatavad NextCloudi platvormile. Näiteks on haavatavad konfiguratsioonid konstruktsioonide tüübiga:

location ~ [^/]\.php(/|$) {
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_pass php:9000;
}

Probleemi lahendamise jälgimine distributsioonides on võimalik lehtedel: Debian, RHEL, Ubuntu, SUSE/openSUSE, FreeBSD, Arch, Fedora. Kaitseks võib pärast rida «fastcgi_split_path_info» lisada kontrolli, et taotletud PHP-fail eksisteerib:

try_files $fastcgi_script_name =404;

Probleem on põhjustatud vigadest näidikutega töötamisel failis sapi/fpm/fpm/fpm_main.c. Oleku määramisel eeldatakse, et PATH_INFO keskkonnamuutuj sissevoolus peab sisaldama esialgse PHP-faili teed.
Kui fastcgi_split_path_info direktiivis on määratud skripti tee jagamine regulaaravaldiste abil, mis on tundlik uue rea sümboli edastamise suhtes (näiteks paljudes näidetes soovitatakse kasutada «^(.+?\.php)(/.*)$»), siis võib ründaja saavutada, et PATH_INFO keskkonnamuutujisse kirjutatakse tühi väärtus. Sellisel juhul, täiendavalt täitmisprotsessis toimub oleks path_info[0] null ja kutse FCGI_PUTENV.

Kindlalt koostatud URL-i pärides võib ründaja saavutada, et path_info näidik nihkub struktuuri «_fcgi_data_seg» esimesse baiti, ning nulli kirjutamine sellesse baidi toob kaasa näidiku «char* pos» nihkumise varasemasse mäluosa. Järgnev FCGI_PUTENV kutse kirjutab sellesse mälusse andmed, mille üle ründaja võib kontrolli omada. Sellises mälus hoitakse sealhulgas ka muid FastCGI muutujaid, ning kirjutades oma andmed, võib ründaja luua vale PHP_VALUE muutuja ja saavutada oma koodi täitmise.

Allikas: opennet.ru