დაუცველობა php-fpm-ში, რომელიც სერვერზე კოდის დისტანციური შესრულების საშუალებას იძლევა

ხელმისაწვდომია PHP 7.3.11, 7.1.33 და 7.2.24 მაკორექტირებელი გამოშვებები, რომელშიც აღმოფხვრილი კრიტიკული დაუცველობა (CVE-2019-11043) PHP-FPM (FastCGI Process Manager) გაფართოებაში, რომელიც საშუალებას გაძლევთ დისტანციურად შეასრულოთ თქვენი კოდი სისტემაში. სერვერებზე თავდასხმისთვის, რომლებიც იყენებენ PHP-FPM-ს Nginx-თან ერთად PHP სკრიპტების გასაშვებად, ის უკვე საჯაროდ არის ხელმისაწვდომი. სამუშაო ექსპლუატაცია.

შეტევა შესაძლებელია nginx-ის კონფიგურაციებში, რომლებშიც PHP-FPM-ზე გადაგზავნა ხორციელდება URL-ის ნაწილების გამოყოფით „fastcgi_split_path_info“-ს გამოყენებით და PATH_INFO გარემოს ცვლადის განსაზღვრით, მაგრამ ფაილის არსებობის წინასწარ შემოწმების გარეშე „try_files $fastcgi_script_name“-ის გამოყენებით. დირექტივა ან "if (!-f $) document_root$fastcgi_script_name)". პრობლემაც არის ჩნდება NextCloud პლატფორმისთვის შემოთავაზებულ პარამეტრებში. მაგალითად, კონფიგურაციები სტრუქტურებით, როგორიცაა:

მდებარეობა ~ [^/]\.php(/|$) {
fastcgi_split_path_info ^ (. +? \. php) (/.*) $;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_pass php:9000;
}

თქვენ შეგიძლიათ თვალი ადევნოთ პრობლემის გადაჭრას სადისტრიბუციო კომპლექტებში ამ გვერდებზე: Debian, rhel, Ubuntu, SUSE/openSUSE, FreeBSD, Arch, Fedora. როგორც გამოსავალი, შეგიძლიათ დაამატოთ შემოწმება მოთხოვნილი PHP ფაილის არსებობის შესახებ „fastcgi_split_path_info“ ხაზის შემდეგ:

try_files $fastcgi_script_name =404;

პრობლემა გამოწვეულია ფაილში მაჩვენებლების მანიპულირებისას შეცდომით sapi/fpm/fpm/fpm_main.c. მაჩვენებლის მინიჭებისას, ვარაუდობენ, რომ PATH_INFO გარემოს ცვლადის მნიშვნელობა უნდა შეიცავდეს პრეფიქსს, რომელიც ემთხვევა PHP სკრიპტის გზას.
თუ fastcgi_split_path_info დირექტივა განსაზღვრავს სკრიპტის გზის გაყოფას ახალი ხაზისადმი მგრძნობიარე რეგულარული გამონათქვამის გამოყენებით (მაგალითად, ბევრი მაგალითი გვთავაზობს "^(.+?\.php)(/.*)$"-ს გამოყენებას), მაშინ თავდამსხმელს შეუძლია უზრუნველყოს, რომ ცარიელი მნიშვნელობა იწერება PATH_INFO გარემოს ცვლადში. ამ შემთხვევაში, შემდგომი შესრულების გასწვრივ არის ჩაწერეთ path_info[0] ნულამდე და დარეკეთ FCGI_PUTENV.

გარკვეული ფორმით ფორმატირებული URL-ის მოთხოვნით, თავდამსხმელს შეუძლია მიაღწიოს path_info მაჩვენებლის გადატანას „_fcgi_data_seg“ სტრუქტურის პირველ ბაიტზე და ამ ბაიტზე ნულის დაწერა გამოიწვევს „char* pos“-ის მოძრაობას. მითითება ადრე მდებარე მეხსიერების ზონაზე. შემდეგი სახელწოდებით FCGI_PUTENV გადაწერს მონაცემებს ამ მეხსიერებაში იმ მნიშვნელობით, რომელიც თავდამსხმელს შეუძლია გააკონტროლოს. მითითებული მეხსიერება ასევე ინახავს სხვა FastCGI ცვლადების მნიშვნელობებს და მათი მონაცემების ჩაწერით თავდამსხმელს შეუძლია შექმნას ფიქტიური PHP_VALUE ცვლადი და მიაღწიოს მათი კოდის შესრულებას.

წყარო: opennet.ru