该漏洞存在于PHP-FPM + nginx组合使用并采用一定配置的情况下。该漏洞PoC已在2019年10月22日公布，PHP与Nginx组合使用的情况较为广泛，攻击者可利用该漏洞远程执行任意代码，所以危害性较大。
PHP-FPM组件介绍
PHP-FPM（FastCGI流程管理器）是另一种PHP FastCGI实现，具有一些其他功能，可用于各种规模的站点，尤其是繁忙的站点。
对于PHP 5.3.3之前的php来说，PHP-FPM是一个补丁包，旨在将FastCGI进程管理整合进PHP包中。如果你使用的是PHP 5.3.3之前的PHP的话，就必须将它patch到你的PHP源代码中，在编译安装PHP后才可以使用。
而PHP 5.3.3已经集成php-fpm了，不再是第三方的包了。PHP-FPM提供了更好的PHP进程管理方式，可以有效控制内存和进程、可以平滑重载PHP配置。
漏洞描述
该漏洞是PHP-FPM中的fpm_main.c文件的env_path_info下溢导致，在sapi/fpm/fpm/fpm_main.c文件中的第1140行包含pointer arithmetics，这些pointer arithmetics假定env_path_info的前缀等于php脚本的路径。但是，代码不会检查这些假设是否被满足，缺少检查会导致”path_info”变量中的指针无效。
这样的条件可以在标准的Nginx配置中实现。如果有这样的Nginx配置：
- location ~ [^/]\.php(/|$) {
- fastcgi_split_path_info ^(.+?\.php)(/.*)$;
- fastcgi_param PATH_INFO $fastcgi_path_info;
- fastcgi_pass php:9000;
- ...
- }
攻击者可以使用换行符（编码格式为％0a）来破坏`fastcgi_split_path_info`指令中的regexp。regexp损坏将导致空PATH_INFO，从而触发该错误。
这个错误会导致代码执行漏洞。在后面的代码中，path_info[0]的值设置为0，然后再调用FCGI_PUTENV。攻击者可以使用精心选择的URL路径长度和查询字符串，使path_info精确地指向_fcgi_data_seg结构的第一个字节。然后将0放入其中则‘char* pos’字段向后移动，然后FCGI_PUTENV使用脚本路径覆盖一些数据(包括其他快速cgi变量)。
使用这种技术，攻击者可以创建一个伪PHP_VALUE fcgi变量，然后使用一系列精心选择的配置值来执行代码。
影响产品：
在2019-09-26更新之前下载的PHP-FPM，且必须为Nginx + php-fpm 的服务器使用如下配置，会受到影响。
- location ~ [^/]\.php(/|$) {
- fastcgi_split_path_info ^(.+?\.php)(/.*)$;
- fastcgi_param PATH_INFO $fastcgi_path_info;
- fastcgi_pass php:9000;
- ...
- }
修复建议：
如果业务不需要以下配置，建议用户删除：
- fastcgi_split_path_info ^(.+?\.php)(/.*)$;
- fastcgi_param PATH_INFO $fastcgi_path_info;
本文地址：http://kf.yj99.vip/zhan/zj/94.html