令人討厭的PHP7遠程代碼執行錯誤被利用

2021-01-08 萬能蟲說科技

ZDNet從威脅情報公司「壞包」(Bad packet)那裡了解到，現代版本的PHP程式語言中最近修補的一個安全缺陷正在被用於接管伺服器。該漏洞是PHP 7中的遠程代碼執行(RCE)， PHP 7是PHP的較新分支，PHP是用於構建網站的最常用程式語言。這個問題被稱為CVE-2019-11043，它允許攻擊者僅通過訪問一個特製的URL就可以在伺服器上運行命令。利用這個漏洞並不重要，本周早些時候，GitHub上發布了公開的概念驗證的利用代碼。

「GitHub存儲庫中包含的PoC腳本可以通過發送特別製作的請求來查詢目標web伺服器，以確定它是否容易受到攻擊，」成立公司的高級安全響應經理Satnam Narang說。「一旦一個脆弱的目標被識別出來，攻擊者就可以通過添加『?a='在一個脆弱的web伺服器的URL。"- ice (@ice43396118) 2019年10月24日

只有NGINX伺服器受到影響

幸運的是，並非所有支持php的web伺服器都受到影響。只有啟用了PHP-FPM的NGINX伺服器是脆弱的。PHP- fpm，或FastCGI進程管理器，是另一種具有一些附加功能的PHP FastCGI實現。然而，儘管PHP- fpm不是Nginx安裝的標準組件，一些web託管提供商將其作為其標準PHP託管環境的一部分。

其中一個例子是網絡主機提供商Nextcloud，它在10月24日(周四)向客戶發布了一份安全建議，敦促客戶將PHP更新到最新版本7.3.11和7.2.24，這兩個版本是在同一天發布的，包含了CVE-2019-11043的補丁。許多其他的虛擬主機提供商也被懷疑運行脆弱的Nginx+PHP-FPM組合。但是也有一些網站所有者由於技術限制不能更新PHP或者不能從PHP- fpm切換到另一個CGI處理器。

發現PHP7 RCE的Wallarm公司的這篇博客文章介紹了網站管理員如何使用標準的mod_security防火牆工具來阻止網站url中的%0a (newline)字節，並防止任何攻擊。Wallarm公司稱讚其安全研究員安德魯·達諾在上個月的「奪旗」(CTF)比賽中發現了這個漏洞。由於公共PoC代碼的可用性和利用這個bug的簡單性，建議網站所有者檢查伺服器設置，如果他們運行了易受攻擊的配置，則應儘快更新PHP。

相關焦點

  • SMB遠程代碼執行漏洞(CVE-2020-0796)分析
    該漏洞源於SMBv3協議在處理惡意壓縮數據包時，進入了錯誤流程。遠程未經身份驗證的攻擊者可利用該漏洞在應用程式中執行任意代碼。SMB 3.1.1協議中處理壓縮消息時，對其中數據沒有經過安全檢查，直接使用會引發內存破壞漏洞，可能被攻擊者利用遠程執行任意代碼。攻擊者利用該漏洞無須權限即可實現遠程代碼執行，受黑客攻擊的目標系統只需開機在線即可能被入侵。提權後可以做任意操作，例如加密被攻擊者電腦的文件，然後對其進行勒索。
  • 驚爆:Steam客戶端發現遠程代碼執行漏洞
    大家熟知的遊戲平臺Steam客戶端，竟然存在了一個至少10年的遠程代碼執行漏洞……近日有安全公司的研究人員Tom Court曝出了這一發現。Steam客戶端發現遠程代碼執行漏洞　　Steam客戶端程序庫的堆積（Heap）崩潰漏洞能被遠端觸發，該區代碼是用來處理並重組多個UDP數據封包，Steam客戶端依賴自定義協議進行通訊
  • Webmin遠程代碼執行漏洞曝光,允許黑客以root權限執行任意命令
    據外媒報導，在最近的DEFCON安全會議上，研究人員披露了在Webmin中發現的後門機制，包含隱藏一年多的遠程代碼執行漏洞，允許黑客遠程執行任意命令，Webmin 1.882到1.921版本受影響。圖片來源於pixabayWebmin是一個用於管理Linux和UNIX系統的基於Web的開源界面，該後門機制允許黑客在運行Webmin的計算機上以root權限遠程執行惡意命令
  • Steam 協議漏洞允許遠程執行代碼
    安全研究人員發現Steam瀏覽器協議存在允許遠程執行代碼(PDF)的漏洞。 當用戶在電腦上安裝Steam後，它會註冊steam:// URL協議讓玩家連接遊戲伺服器和啟動遊戲。但當用戶點擊一個特殊形式的Steam URL後，攻擊者可以遠程利用Steam遊戲和程序的緩衝溢出等漏洞在目標電腦上運行惡意代碼。
  • 華碩路由器遠程代碼執行漏洞通告
    報告編號：B6-2020-080303報告來源：360CERT報告作者：360CERT更新日期：2020-08-030x01 漏洞簡述2020年08月03日， 360CERT監測發現 業內安全廠商 發布了 華碩RT-AC系列路由器遠程代碼執行
  • 每日漏洞｜HTTP.sys遠程代碼執行
    01 漏洞描述 上篇文章 介紹了Host頭攻擊，今天我們講一講HTTP.sys遠程代碼執行漏洞HTTP.sys遠程代碼執行漏洞實質是HTTP.sys的整數溢出漏洞，當攻擊者向受影響的Windows系統發送特殊設計的HTTP 請求，HTTP.sys 未正確分析時就會導致此漏洞，成功利用此漏洞的攻擊者可以在系統帳戶的上下文中執行任意代碼。
  • 深入解讀:Windows HTTP.sys遠程代碼執行漏洞跟蹤進展
    4、代碼執行從上述分析可以看出，觸發此漏洞可越界寫數據而造成內存破壞，理論上存在遠程執行代碼的可能性。但是越界所寫數據的長度下限由ContentLength決定，通常會是一個較大的值而立即使系統崩潰。即使目標伺服器上存在一些大的文件，可以用來越界寫少量數據，所寫數據內容與被覆蓋目標也很難控制。因此，在實際環境中想要穩定的利用此漏洞來執行代碼是非常困難的。
  • 微軟發布兩個緊急安全更新：修復遠程代碼執行漏洞
    這兩個例外安全更新是本月補丁星期二活動日之後再發布的，主要修復了兩款產品中的「遠程代碼執行」漏洞，能夠讓攻擊者在受影響的設備上遠程執行代碼。第一個錯誤被標記為 CVE-2020-17022。微軟表示攻擊者可以通過製作含有惡意程序的圖像，當Windows應用處理該圖像的時候能夠在未修復的設備上遠程執行代碼。
  • 漏洞公告 | OpenStack遠程代碼執行0day
    概要信息: OpenStack RCE 0Day 漏洞危害: 高，攻擊者利用此漏洞，可實現遠程代碼執行。應急等級: 黃色 版本: 1.0漏洞概述關於 OpenStack OpenStack 是一個利用虛擬資源池構建和管理私有雲和公共雲的平臺
  • Steam曝協議漏洞 允許遠程執行代碼
    安全研究人員發現Steam瀏覽器協議存在允許遠程執行代碼(PDF)的漏洞。 當用戶在電腦上安裝Steam後，它會註冊steam:// URL協議讓玩家連接遊戲伺服器和啟動遊戲。但當用戶點擊一個特殊形式的Steam URL後，攻擊者可以遠程利用Steam遊戲和程序的緩衝溢出等漏洞在目標電腦上運行惡意代碼。
  • 趨勢科技殺軟曝密碼漏洞:允許遠程代碼執行
    現在這位研究員又發現了趨勢科技殺軟密碼管理器會洩露密碼，並且為潛在的惡意代碼攻擊提供方便。這位谷歌研究員認為，這款工具在安全設計上存在缺失，攻擊者可利用如下方式進行遠程代碼執行攻擊：• 該產品採用JavaScript結合node.js編寫，打開多個HTTP RPC埠來掌控API請求。它將需要大約30秒的時間來允許任意一個命令執行，openUrlInDefaultBrowser，最終映射到ShellExecute()。
  • [圖]微軟發布兩個緊急安全更新:修復遠程代碼執行漏洞
    這兩個例外安全更新是本月補丁星期二活動日之後再發布的，主要修復了兩款產品中的「遠程代碼執行」漏洞，能夠讓攻擊者在受影響的設備上遠程執行代碼。
  • 關於Apache Spark存在遠程代碼執行高危漏洞的預警通報
    近日，國家信息安全漏洞共享平臺（CNVD）發布Apache Spark遠程代碼執行漏洞。攻擊者利用該漏洞，可在未授權情況下遠程執行代碼。該漏洞編號：CVE-2020-9480，安全級別為「高危」。Apache Spark存在遠程代碼執行高危漏洞，源於Spark的認證機制缺陷，導致共享密鑰認證失效。攻擊者利用該漏洞，可在未授權的情況下，遠程發送精心構造的過程調用指令，啟動Spark集群上的應用程式資源，獲取目標伺服器權限，實現遠程代碼執行。
  • 「權威發布」關於Vmware ESXi存在遠程代碼執行高危漏洞的預警通報
    近日，國家信息安全漏洞庫（CNNVD）公布了Vmware ESXi遠程代碼執行漏洞，成功利用該漏洞的攻擊者可以進行遠程代碼執行，獲取伺服器系統權限，最終控制目標伺服器。漏洞編號：CVE-2020-3992，安全級別為「高危」。
  • CVE-2020-0688:微軟EXCHANGE服務的遠程代碼執行漏洞
    工具 https://github.com/incredibleindishell/ysoserial.net-complied本周二，微軟發布了一個Important級別的補丁，解決了Microsoft Exchange Server中的遠程代碼執行錯誤
  • 谷歌2019年2月安卓安全版本發布,修補Png文件遠程代碼執行漏洞
    據悉這些漏洞中包括中最嚴重包括PNG文件遠程代碼執行漏洞，利用該漏洞如果你打開偽裝的PNG圖片，黑客就能遠程執行代碼劫持你的手機。本文中蟲蟲給大家來解讀這些嚴重漏洞。PNG文件遠程代碼執行谷歌的2019年2月最新月度發布中披露最嚴重的漏洞是Framework中的一個關鍵安全漏洞"PNG文件遠程代碼執行"。如果應用程式查看惡意包裝的PNG圖像，就會執行文件附帶的惡意代碼。
  • 「高危漏洞預警」Remote Desktop Client遠程代碼執行漏洞
    在官方安全公告中，有4個RDP（遠程桌面服務）客戶端的遠程代碼執行漏洞（RCE）。截至目前為止，官方稱尚未發現該部分漏洞的在野利用。攻擊者可以通過這4個漏洞，在連接客戶端的計算機上執行任意代碼。這4個RDP客戶端漏洞的危害等級均被評為了Critical（嚴重級）。
  • IBM WebSphere遠程代碼執行漏洞(CVE-2019-4279);Cloudflare和Amazon AWS網絡中斷
    【漏洞補丁】IBM WebSphere遠程代碼執行漏洞（CVE-2019-4279）Android模擬器BlueStacks修復DNS重新綁定漏洞EA帳戶劫持漏洞可導致3億玩家帳戶被劫持【攻擊事件】佛羅裡達州Lake City向黑客支付50萬美元贖金【威脅情報】Troldesh攻擊活動再次飆升
  • 業內分析:國內用戶應警惕SMB遠程代碼執行漏洞
    新華社北京3月13日電（記者陽娜）針對北京時間12日晚微軟披露的最新的SMB遠程代碼執行漏洞（CVE-2020-0796），騰訊安全網絡資產風險檢測系統13日提供了分析數據，其顯示，目前全球範圍可能存在漏洞的SMB伺服器總量約10萬臺，直接暴露在公網，可能成為漏洞攻擊的首輪目標。
  • SMB遠程代碼執行漏洞CVE-2020-0796安全通告
    【漏洞名稱】SMB遠程代碼執行漏洞（CVE-2020-0796），有安全研究者取名「SMBGhost」。SMB 3.1.1協議中處理壓縮消息時，對其中數據沒有經過安全檢查，直接使用會引發內存破壞漏洞，可能被攻擊者利用遠程執行任意代碼。攻擊者利用該漏洞無須權限即可實現遠程代碼執行，受黑客攻擊的目標系統只需開機在線即可能被入侵。