Como corrigir a vulnerabilidade do PHP-FPM (CVE-2019-11043) com o NGINX

Owen GarrettDiretor Sênior de Gestão de Produtos

Uma vulnerabilidade relatada recentemente, identificada como CVE-2019-11043, pode afetar sites que usam o PHP‑FPM para executar páginas PHP. O uso do PHP‑FPM é particularmente comum em sites que utilizam o NGINX, pois ele não conta com um ambiente de execução PHP integrado ao processo. Em vez disso, o NGINX atua como proxy reverso para servidores de aplicações e gerenciadores de processos, como o PHP‑FPM.

A vulnerabilidade está no próprio PHP‑FPM, e não no NGINX. Portanto, a única solução garantida é atualizar para a versão corrigida (ou posterior) da sua versão do PHP: PHP 7.1.33, PHP 7.2.24, ou PHP 7.3.11.

Qual é a natureza da vulnerabilidade?

O NGINX se comunica com o PHP‑FPM usando o protocolo FastCGI. Cada mensagem FastCGI contém um conjunto de variáveis de ambiente. Uma delas, PATH_INFO, é derivada de outros parâmetros da solicitação. Se o valor dela estiver inesperadamente vazio, isso poderá causar corrupção de memória no binário do PHP‑FPM. É possível explorar essa situação e fazer com que o binário do PHP‑FPM execute comandos arbitrários no servidor local.

Essa vulnerabilidade pode ser acionada por uma configuração comum do NGINX, na qual o NGINX usa uma expressão regular na diretiva fastcgi_split_path_info para dividir o URI da solicitação em duas partes. Uma forma de acionar a vulnerabilidade é inserir um caractere de quebra de linha (%0a) ou de retorno de carro (%0d) no URI da solicitação, que não é processado corretamente pela expressão regular.

Mitigação da vulnerabilidade

Como mencionado acima, a única maneira garantida de corrigir essa vulnerabilidade é atualizar sua versão do PHP para a versão corrigida (ou posterior): PHP 7.1.33, PHP 7.2.24, ou PHP 7.3.11.

Se não for possível atualizar imediatamente o binário do PHP, há várias medidas de mitigação parcial que você pode adotar:

1. Várias fontes sugeriram adicionar uma diretiva try_files à configuração do NGINX para verificar se a variável $uri corresponde a um arquivo (o script PHP) e, caso contrário, rejeitar a solicitação com o código 404 (Não Encontrado):

location ~ [^/]\.php(/|$) {    fastcgi_split_path_info ^(.+?\.php)(/.*)$;
    fastcgi_param           PATH_INFO $fastcgi_path_info;
    try_files               $uri =404;
    #...
}

1. Observe que essa mitigação só funciona se o NGINX e o PHP‑FPM compartilharem o mesmo diretório raiz de documentos no mesmo host. As configurações do PHP variam de acordo com as necessidades da aplicação upstream. Teste alterações como essa para verificar se elas não afetam sua aplicação.
2. Use o F5 BIG-IP ASM (Application Security Manager) para proteger a aplicação. Os conjuntos de assinaturas existentes “Command Execution” e “Server Side Code Injection” incluem assinaturas de ataque que bloqueiam a maioria das tentativas de descobrir e explorar essa vulnerabilidade do PHP‑FPM.Editor – Desde a publicação deste blog, a equipe de segurança da F5 lançou uma assinatura adicional específica para essa vulnerabilidade. Para obter detalhes, consulte o F5 DevCentral.
3. Adicione uma regra do ModSecurity para bloquear solicitações que contenham o caractere suspeito %0a ou %0d:

SecRule REQUEST_URI "@rx %0(a|A|d|D)" "id:1,phase:1,t:lowercase,deny"

1. Essa solução é descrita no relatório original da Wallarm sobre a vulnerabilidade; ela pode gerar falsos positivos, e um invasor ainda pode encontrar outras formas de explorar a vulnerabilidade.

Usando um gerenciador de processos PHP diferente

Em vez de depender do PHP‑FPM, você pode usar o NGINX Unit para executar seus aplicativos PHP. O NGINX Unit é um servidor de aplicativos e gerenciador de processos de código aberto e alto desempenho que, além do PHP, oferece suporte a diversas linguagens e frameworks. Ele pode dimensionar automaticamente os aplicativos PHP de acordo com a carga e executar simultaneamente aplicativos que usam diferentes runtimes do PHP. Disponibilizamos gratuitamente binários, código-fonte e imagens do Docker.

Consulte a documentação do NGINX Unit para obter instruções sobre como configurar e operar o NGINX Unit para WordPress, uma aplicação popular, de alto tráfego e baseada em PHP. A implantação aproveita o suporte ao fornecimento de arquivos estáticos disponível no NGINX Unit 1.11.0 e versões posteriores.

Sobre o autor

Owen GarrettDiretor Sênior de Gestão de Produtos

Mais publicações de Owen Garrett