ИнструментыУязвимости БДУБлоклистыРасширениеУтилитыБлогAPIМониторинг
Главная → База уязвимостей БДУ → BDU:2020-00013
7.1высокая

BDU:2020-00013 (CVE-2019-11043)

Уязвимость компонента sapi/fpm/fpm/fpm_main.c расширения PHP-FPM интерпретатора языка программирования PHP, позволяющая нарушителю выполнять произвольные команды
Опубликовано: 2020-01-08
Описание

Уязвимость компонента sapi/fpm/fpm/fpm_main.c расширения PHP-FPM интерпретатора языка программирования PHP связана с ошибками переполнения буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнять произвольные команды на уязвимом сервере с помощью специально сформированного URL

Затрагиваемое ПО и версии
Astra Linux Special Edition (1.5 «Смоленск»)Red Hat Enterprise Linux (6)Red Hat Enterprise Linux (7)Ubuntu (16.04 LTS)Debian GNU/Linux (9)Ubuntu (18.04 LTS)Astra Linux Special Edition (1.6 «Смоленск»)Fedora (29)Ubuntu (12.04 ESM)Ubuntu (19.04)Red Hat Enterprise Linux (8)OpenSUSE Leap (15.0)OpenSUSE Leap (15.1)Fedora (30)Ubuntu (14.04 ESM)Debian GNU/Linux (8)Debian GNU/Linux (10)Fedora (31)Ubuntu (19.10)PHP (от 7.1.0 до 7.1.33)PHP (от 7.2.0 до 7.2.24)PHP (от 7.3.0 до 7.3.11)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)Альт 8 СПОС ОН «Стрелец» (до 16.01.2023)
Способ устранения

Использование рекомендаций:
Для PHP:
https://bugs.php.net/bug.php?id=78599

Для Debian GNU/Linux:
Обновление программного обеспечения (пакета php5) до 5.6.40+dfsg-0+deb8u7 или более поздней версии
Обновление программного обеспечения (пакета php7.0) до 7.0.33-0+deb9u6 или более поздней версии
Обновление программного обеспечения (пакета php7.3) до 7.3.11-1~deb10u1 или более поздней версии

Для программных продуктов Novell Inc.:
https://lists.opensuse.org/opensuse-security-announce/2019-11/msg00011.html
https://lists.opensuse.org/opensuse-security-announce/2019-11/msg00014.html

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/3W23TP6X4H7LB645FYZLUPNIRD5W3EPU/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/FSNBUSPKMLUHHOADROKNG5GDWDCRHT5M/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/T62LF4ZWVV7OMMIZFO6IFO5QLZKK7YRD/

Для Ubuntu:
https://usn.ubuntu.com/4166-2/
https://usn.ubuntu.com/4166-1/

Для программных продуктов Red Hat Inc.:
https://bugzilla.redhat.com/show_bug.cgi?id=1766378

Для Astra Linux:
Обновление программного обеспечения (пакета php5) до 5.6.40+dfsg-0+deb8u7 или более поздней версии
Обновление программного обеспечения (пакета php7.0) до 7.0.33-0+deb9u6 или более поздней версии
Обновление программного обеспечения (пакета php7.3) до 7.3.11-1~deb10u1 или более поздней версии

Для PHP 5:
Обновление программного обеспечения до 5.6.40+dfsg-0+deb8u7 или более поздней версии

Для PHP 7.0:
Обновление программного обеспечения до 7.0.33-0+deb9u6 или более поздней версии

Для PHP 7.3:
Обновление программного обеспечения до 7.3.10-1 или более поздней версии

Для ОС ОН «Стрелец»:
Обновление программного обеспечения php7.0 до версии 7.0.33.repack1-0+deb9u10.osnova6

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Оценка CVSS
Балл7.1 — высокая опасность
Источники и патчи
https://securitylab.ru/news/502087.phphttps://github.com/neex/phuip-fpizdamhttps://nvd.nist.gov/vuln/detail/CVE-2019-11043https://bugs.php.net/bug.php?id=78599https://www.debian.org/security/2019/dsa-4552https://www.debian.org/security/2019/dsa-4553https://lists.opensuse.org/opensuse-security-announce/2019-11/msg00011.htmlhttps://lists.opensuse.org/opensuse-security-announce/2019-11/msg00014.html
Проверьте безопасность своего сайта и почты → Полная проверка домена