Paskudny błąd w PHP7 pozwala każdemu na zdalne wykonywanie kodu

Nowy błąd PHP7 CVE-2019-11043 może pozwolić nawet nietechnicznym atakującym na przejęcie serwerów. Po zidentyfikowaniu wrażliwego celu, wystarczy wysyłać specjalnie spreparowany URL, dodając do niego zaledwie 3 znaki

[JanuszMazGrazyny]

Skąd wiem, że exploita na GH opublikował ziomeczek z kraju nad Wisłą?

Nazwa: "PHuiP-FPizdaM" :)

[vucko]

@JanuszMazGrazyny: Raczej ruski, Hui i P---a to nie tylko Polskie słowa( ͡° ͜ʖ ͡°)

[SzwagierPrezydenta]

@vucko: wszystko te ruski ukradną, nawet błąd ortograficzny

[Stivo75]

Chciałbym napisać jeszcze jeden komentarz bo zobaczyłem tytuł i zdałem sobie sprawę, że to bzdura trochę. Bo załóżmy że KAŻDY to nie jest Pani Grażyna z meblowego czy Pan Tomek fryzjer ale... Noooo gość od IT. Nawet ten gość od IT nie wykona tego kodu bo musi
- Mieć konto na hostingu z wersją z podatnością.
- Serwer musi pracować na NGINX i mieć odpowiednią konfigurację
- Ziomek od IT musi się

[frow]

@Stivo75: ta, dosyć clickbaitowy tytuł.

[Mave]

@Stivo75: myślę że to dość powszechne określenie, że jeśli do takiej dziury może się dostać osoba nieautoryzowana, to może to zrobić "każdy".

[vucko]

Tylko w konfiguracji nginx + php-fpm

[k....._]

@vucko: czyli tą, którą używa większość xD

[enron]

@k0lorowy_: stary dobry apache XD

@vukko: przypadkiem wkradło Ci się „dobry” xD

[Stivo75]

I podajemy taki ciąg
/bin/sh+-c+%27id%27&

I vua la ( ͡° ͜ʖ ͡°)

[mnlf]

@sheeple: Prościej przytrzymać prawy alt nacisnąć średnik puścić alt nacisnąć a

W ten sposób można modyfikować różne litery
alt ; e = é
alt ; u = ú
alt ; u

[s.....e]

Prościej przytrzymać prawy alt nacisnąć średnik puścić alt nacisnąć a

@mnlf: Tyle lat na karku i to w IT ale o tym nie słyszałem i niestety u mnie nie działa ( ͡° ʖ̯ ͡°) Po naciśnięciu ALT i średnika od razu wyskakuje znak średnika. To uniwersalny sposób w każdym systemie?

[d.....z]

Wordpressy raczej odpadają, bo mają dyrektywę try_files, więc jak ktoś ma wordpress na tym stacku to jest bezpieczny. Eksploit oczywiście #golang :)

[cocamide]

zastanawia mnie czemu poc u mnie nie działa (spełniam chyba wszystkie warunki), cloudflare może to blokować?

phuip-fpizdam [https://xxx.xx/xxx.php](https://xxx.xx/xxx.php)
2019/10/28 22:54:42 Base status code is 200
2019/10/28 22:55:07 Detect() returned error: no qsl candidates found, invulnerable or something wrong

[cocamide]

już dostałem minusa więc ktoś chyba pomyślał, że próbuje "atakować" jakiś serwer.
Sprawdzam POC na własny serwerze w mogłoby się wydawać idealnej konfiguracji - php 7.0 + nginx + fpm, dodatkowo w configu nginx mam ustawione zarówno

fastcgi_param PATH_INFO $fastcgi_path_info;

jak i
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;

[lkucharski]

@cocamide: cloudflare pewnie wycina ?a= lub cały request

[mazi3city]

PHP rządzi w świecie aplikacji webowych i to się jeszcze długo nie zmieni.

[Aaaaarghhh]

@van-darkholme: "The ratings are based on the number of skilled engineers world-wide, courses and third party vendors" a nie wykorzystania na serwerach.

[sekurak]

Bug rzeczywiście b. ciekawy. Choć ten fragment to lekka ściema: "Po zidentyfikowaniu wrażliwego celu atakujący mogą wysyłać specjalnie spreparowane żądania, dodając '?a="

Można to zrobić (tj dodać te 3 znaki) ale nie po zidentyfikowaniu celu, tylko dopiero po odpaleniu exploita (jeśli zadziała). Na podobnej zasadzie można powiedzieć, że prawie każdą podatność może wykorzystać nietechniczny atakujący, bo przecież może sciągnąć exploita z sieci i odpalić ;-)

No i jeszcze jest prosty workaround do

[wbielak]

@sekurak: BTW "nietechniczny atakujący". Ładne określenie na script kiddie.
Takie w stylu "hojnie obdarzony melaniną waginosceptyk " (dawne murzyński pedał) ( ͡° ͜ʖ ͡°)

[1983]

Każdemu oprócz mnie, bo i tak nie wiem, o co chodzi.

[xeexee]

To już wiemy jak przejęto warez-bb ( ͡º ͜ʖ͡º)