The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]



"Локальная root-увизгвимость в PHP-FPM "
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Локальная root-увизгвимость в PHP-FPM "  +/
Сообщение от opennews (??), 28-Окт-21, 18:44 
В PHP-FPM, менеджере процессов FastCGI, входящем в основную поставку PHP начиная с ветки 5.3, выявлена критическая уязвимость CVE-2021-21703, дающая возможность непривилегированному пользователю хостинга выполнить код с правами root. Проблема проявляется на серверах, использующих для организации запуска PHP-скриптов PHP-FPM, обычно применяемый в связке с Nginx. Выявившие проблему исследователи смогли подготовить рабочий прототип эксплоита...

Подробнее: https://www.opennet.ru/opennews/art.shtml?num=56055

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения [Сортировка по времени | RSS]


5. "Локальная root-увизгвимость в PHP-FPM "  –16 +/
Сообщение от Sherry Birkin (?), 28-Окт-21, 18:55 
А я говорил, ставьте Apache2!
Ответить | Правка | Наверх | Cообщить модератору

7. "Локальная root-увизгвимость в PHP-FPM "  +8 +/
Сообщение от srgazh (ok), 28-Окт-21, 18:57 
Там таких новостей еще более
Ответить | Правка | Наверх | Cообщить модератору

28. "Локальная root-увизгвимость в PHP-FPM "  +/
Сообщение от пох. (?), 28-Окт-21, 21:40 
именно такая ровно одна (в смысле, об ту же проблему)
Ответить | Правка | Наверх | Cообщить модератору

29. "Локальная root-увизгвимость в PHP-FPM "  –2 +/
Сообщение от Онаним (?), 28-Окт-21, 21:42 
А вот да, костылинг костылей в виде FPM такой костылинг.
Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

48. "Локальная root-увизгвимость в PHP-FPM "  +/
Сообщение от Аноним (48), 29-Окт-21, 03:19 
Просто кто-то не осилил парсинг в свое время HTTP и изобрел целый зоопарк этих CGI протоколов
Теперь даже стыдно на это все смотреть - когда в любом Golang, Java, Ruby реалзованы полноценные асинхронные сервера с бешеной производительностью

С другой стороны популярность и шаблонность всегда удобнее и проще - много специаистов можно найти

Ответить | Правка | Наверх | Cообщить модератору

72. "Локальная root-увизгвимость в PHP-FPM "  +/
Сообщение от Аноним (72), 29-Окт-21, 22:25 
https://reactphp.org/
Ответить | Правка | Наверх | Cообщить модератору

50. "Локальная root-увизгвимость в PHP-FPM "  +1 +/
Сообщение от Аноним (50), 29-Окт-21, 04:20 
А я говорил, не позволяйте запускать произвольный код!
Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

9. "Локальная root-уязвимость в PHP-FPM "  +1 +/
Сообщение от Аноним (9), 28-Окт-21, 19:01 
>Примечательно, что разработчики PHP были уведомлены о проблеме ещё в мае, но не спешили с подготовкой исправления.

Интересно чего они ждали?

Ответить | Правка | Наверх | Cообщить модератору

10. "Локальная root-уязвимость в PHP-FPM "  +5 +/
Сообщение от Sw00p aka Jerom (?), 28-Окт-21, 19:08 
хорошо хоть за уязвимость восприняли :)
Ответить | Правка | Наверх | Cообщить модератору

13. "Локальная root-уязвимость в PHP-FPM "  +2 +/
Сообщение от Аноним (13), 28-Окт-21, 19:34 
После того как визг подняли и признали
Ответить | Правка | Наверх | Cообщить модератору

17. "Локальная root-уязвимость в PHP-FPM "  +2 +/
Сообщение от Аноним (17), 28-Окт-21, 19:58 
Им некогда, они смузи фичи пилят.
Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

33. "Локальная root-уязвимость в PHP-FPM "  +1 +/
Сообщение от Онаним (?), 28-Окт-21, 21:51 
Ни хрена не смузи. В 8.1 будут Fibers - это просто очешуенчик.
Ответить | Правка | Наверх | Cообщить модератору

36. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от eee (??), 28-Окт-21, 22:25 
"очешуенчик" - wtf ОнаниZм?
Ответить | Правка | Наверх | Cообщить модератору

18. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Аноним (18), 28-Окт-21, 20:05 
С дивана долго поднимались
Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

21. Скрыто модератором  –10 +/
Сообщение от QwertyReg (ok), 28-Окт-21, 20:31 
Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

49. Скрыто модератором  –1 +/
Сообщение от Аноним (48), 29-Окт-21, 03:21 
Ответить | Правка | Наверх | Cообщить модератору

26. "Локальная root-уязвимость в PHP-FPM "  +3 +/
Сообщение от пох. (?), 28-Окт-21, 21:29 
там эксплойт довольно нетривиален и негарантированно сработает (в идеале надо чтоб на сервере ты был единственным клиентом). Причем в любом случае требует возможности исполнять php код (что, в свете всяких eval и нескучных форматов файлов, исполняемых при попытке проверить существование, конечно, тоже не бином ньютона), т.е. это именно локальная уязвимость. А если у вас на сервере где исполняется пехепе есть еще чего взять кроме самого пехепе именно от того юзера которым он и запущен - то у меня для вас хреновая новость...

Поэтому исправлять полезли, когда авторы пригрозили выпустить его in the wild, предварительно раскошелившись на детальное описание как эту багофичу таки можно поэксплойтить.

То есть визгу на самом деле было больше чем проблема заслуживает, но таки все же - дырень.
Надо переписать на сами знаете чем!

Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

56. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от FSA (??), 29-Окт-21, 10:22 
А ещё эксплуатация может быть осложнена изоляцией в контейнере или подсистемой безопасности, типа SELinux или AppArmor.
Ответить | Правка | Наверх | Cообщить модератору

11. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от pashev.me (?), 28-Окт-21, 19:17 
Ещё один пример того, что "должно работать" и "работает" - это не одно и тоже.
Ответить | Правка | Наверх | Cообщить модератору

31. "Локальная root-уязвимость в PHP-FPM "  +1 +/
Сообщение от Аноним (31), 28-Окт-21, 21:47 
Компилируется значит работает (с)
Ответить | Правка | Наверх | Cообщить модератору

12. "Локальная root-уязвимость в PHP-FPM "  –1 +/
Сообщение от Аноним (12), 28-Окт-21, 19:23 
>Основной процесс PHP-FPM, координирующий работу, запускается с правами root

Это очень умное решение.

Ответить | Правка | Наверх | Cообщить модератору

24. "Локальная root-уязвимость в PHP-FPM "  +2 +/
Сообщение от пох. (?), 28-Окт-21, 21:24 
это юникс, тебе не понять, вчерародившийся.
Ответить | Правка | Наверх | Cообщить модератору

76. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Ananimasss (?), 30-Окт-21, 10:57 
Есть варианты как еще забиндить порт ниже 1024 и запускать чайлдов под другим юзером?
Обязательно расскажи.
Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

80. "Локальная root-уязвимость в PHP-FPM "  +1 +/
Сообщение от yurikoles (ok), 31-Окт-21, 23:17 
Чта? В 99.99% случаев он работает на той же машине, что и NGINX, с которым они общаются либо через локальный сокет, либо через localhost:9000. Т.е. ему привилегированные порты в принципе не нужны.
Ответить | Правка | Наверх | Cообщить модератору

83. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от notroot (??), 19-Ноя-21, 15:43 
Есть: CAP_NET_BIND_SERVICE. Насчет ограничения setuid/setgid с ходу не понял, надо разбираться. "Наихудший" вариант: разрешать неограниченный setuid, но зарубленный доступ ко всему через эти же capabilities.

Начать можно с "Linux Capabilities in a nutshell", но лучше с английского языка и системного подхода к обучению.

Ответить | Правка | К родителю #76 | Наверх | Cообщить модератору

14. "Локальная root-уязвимость в PHP-FPM "  –3 +/
Сообщение от Рева RarogCmex Денисemail (?), 28-Окт-21, 19:38 
Вовремя я избавился от php на своём личном сервере.
Ответить | Правка | Наверх | Cообщить модератору

30. "Локальная root-уязвимость в PHP-FPM "  +8 +/
Сообщение от Онаним (?), 28-Окт-21, 21:44 
Лучше сразу от сервера. Нет сервера - нет уязвимостей.
Ответить | Правка | Наверх | Cообщить модератору

37. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Аноним (37), 28-Окт-21, 22:27 
И чем теперь пробавляемся?
Ответить | Правка | К родителю #14 | Наверх | Cообщить модератору

15. "Локальная root-уязвимость в PHP-FPM "  +4 +/
Сообщение от YetAnotherOnanym (ok), 28-Окт-21, 19:49 
А термин "увизгвимость" в html title страницы - это редактор так прикололся?
Ответить | Правка | Наверх | Cообщить модератору

16. "Локальная root-уязвимость в PHP-FPM "  +1 +/
Сообщение от Аноним (16), 28-Окт-21, 19:52 
Это опеннет написан на перле. Старое не отредактированное значение всегда остаётся в заголовке страницы.
Ответить | Правка | Наверх | Cообщить модератору

20. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Аноним (20), 28-Окт-21, 20:26 
Задумался над тем, что когда-нибудь на Opennet появится (а может уже была) новость про уязвимость, через которую можно будет сломать его самого :) С подробным разъяснением и ссылкой на эксплойты. Хорошее оформление новости это не всегда хорошо :)
Ответить | Правка | Наверх | Cообщить модератору

55. "Локальная root-уязвимость в PHP-FPM "  +1 +/
Сообщение от Аноним (55), 29-Окт-21, 09:31 
> Это опеннет написан на перле. Старое не отредактированное значение всегда остаётся в заголовке страницы.

И при чем тут Perl ?

Ответить | Правка | К родителю #16 | Наверх | Cообщить модератору

57. "Локальная root-уязвимость в PHP-FPM "  –1 +/
Сообщение от тигар.логиниться.лень (?), 29-Окт-21, 10:39 
действительно. о мертвых либо хорошо, либо вообще никак.
Ответить | Правка | Наверх | Cообщить модератору

19. "Локальная root-уязвимость в PHP-FPM "  –1 +/
Сообщение от Аноним (19), 28-Окт-21, 20:09 
Кому-то видимо особо нравятся свиньи.
Ответить | Правка | К родителю #15 | Наверх | Cообщить модератору

58. Скрыто модератором  +/
Сообщение от suffix (ok), 29-Окт-21, 11:45 
Ответить | Правка | Наверх | Cообщить модератору

59. Скрыто модератором  +/
Сообщение от Ornlo (ok), 29-Окт-21, 13:29 
Ответить | Правка | Наверх | Cообщить модератору

60. Скрыто модератором  +/
Сообщение от suffix (ok), 29-Окт-21, 13:36 
Ответить | Правка | Наверх | Cообщить модератору

61. Скрыто модератором  +/
Сообщение от Ornlo (ok), 29-Окт-21, 14:11 
Ответить | Правка | Наверх | Cообщить модератору

62. Скрыто модератором  +/
Сообщение от suffix (ok), 29-Окт-21, 14:15 
Ответить | Правка | Наверх | Cообщить модератору

23. "Локальная root-уязвимость в PHP-FPM "  +1 +/
Сообщение от Аноним84701 (ok), 28-Окт-21, 20:52 
> А термин "увизгвимость" в html title страницы - это редактор так прикололся?

См под новостью: "Наводку на новость прислал пох."

Ответить | Правка | К родителю #15 | Наверх | Cообщить модератору

25. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от пох. (?), 28-Окт-21, 21:25 
ну я ж нечаянно...
Ответить | Правка | Наверх | Cообщить модератору

27. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Аноним (31), 28-Окт-21, 21:33 
Вот кто-кто, а вот конкретно ты мог и специально)
Ответить | Правка | Наверх | Cообщить модератору

32. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Онаним (?), 28-Окт-21, 21:50 
Вообще шанс эксплуатации этого дела околонулевой - надо пробить код (кто-то юзает FPM для untrusted code? ссзб), дальше надо трахаться с пробитием sandbox, дальше надо трахаться с тем, чтобы выйти на rce...

Но тем не менее дыра злобно злая, хорошо что таки заткнули.

Ответить | Правка | Наверх | Cообщить модератору

35. "Локальная root-уязвимость в PHP-FPM "  –1 +/
Сообщение от пох. (?), 28-Окт-21, 22:06 
Ну в нескучном язычке, способном выполнить файл при попытке проверить его существование - таки это не нерешаемая задача. То есть эксплойт придется переделывать под конкретный кривой плагин конкретной  супер-cms, но в принципе почти у каждого что-то такое можно найти, если хорошо поискать.

Т.е. жить с такой дырой все же не стоит.

Ответить | Правка | Наверх | Cообщить модератору

40. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Онаним (?), 29-Окт-21, 00:05 
Для этого, правда, тот файл надо ещё загрузить, да так, чтобы с нужным расширением, и при проверке существования надо phar:// в начало имени подставить, ну да ладно. Тут проблема не в бобине, короче.
Ответить | Правка | Наверх | Cообщить модератору

41. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Онаним (?), 29-Окт-21, 00:06 
У этих ребят до сих пор eval()'ы в коде, чего вы от них хотели-то? Там завтра файл будет выполняться без существования, и никто не удивится.
Ответить | Правка | К родителю #35 | Наверх | Cообщить модератору

42. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Онаним (?), 29-Окт-21, 00:07 
(мысль по древу к тому, что PHP тут вообще сбоку пришёлся, дай им баш - так они и там уязвимость сделают)
Ответить | Правка | К родителю #35 | Наверх | Cообщить модератору

43. "Локальная root-уязвимость в PHP-FPM "  –1 +/
Сообщение от пох. (?), 29-Окт-21, 00:13 
баш - это вот та самая фигня, которая по нажатию tab исполняла внезапно код? Ну да, ну да...

Ответить | Правка | Наверх | Cообщить модератору

67. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Аноним (67), 29-Окт-21, 17:04 
Это по всяким шаредам типа GoDaddy может ударить.
Ответить | Правка | К родителю #32 | Наверх | Cообщить модератору

68. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Онаним (?), 29-Окт-21, 20:07 
FPM на шаредах - это редкое извращение.
Ответить | Правка | Наверх | Cообщить модератору

34. "Локальная root-уязвимость в PHP-FPM "  –1 +/
Сообщение от Онаним (?), 28-Окт-21, 21:53 
И да, плять, я только что собрал 7.3.31 для проекта с FPM... Теперь надо собирать и тестить 7.3.32. Хорошо, что в прод ещё не ушло, притормозить не поздно.
Ответить | Правка | Наверх | Cообщить модератору

38. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от пох. (?), 28-Окт-21, 22:41 
нам бы ваши проблемы (исправляет .14 на .25)
Ответить | Правка | Наверх | Cообщить модератору

44. "Локальная root-уязвимость в PHP-FPM "  –1 +/
Сообщение от kissmyass (?), 29-Окт-21, 00:13 
да ни на что не повлияет, понятно что не есть это хорошо, но ничего реально критичного не произойдет, если это не шареный хостинг (но эти ССЗБ, если даже на дешманский VPS денег жмут)

ну получил ты рута и что? в твоем php приложении крутится какой-то вредоносный код? нет... т.е. ты от рута ничего не сделал плохого, да это чревато в совокупности с другими дырами, но не более.

повышение локальных привелегий при наличии возможности выполнять любой код можно всегда попытаться осуществить с использованием row-hammer, а большинство проектов ECC память не используют, даже с Xeon процессорами, нонсенс, но факт (я посмотрел сервера доступные на аукционах, т.е. таких еще тысячами используется по всему миру), исключение составляют большие сервера с регистровой памятью, инстансы по 300+ вечнозеленых.

в общем как бы очень плохо, но несмертельно само по себе

Ответить | Правка | К родителю #34 | Наверх | Cообщить модератору

45. "Локальная root-уязвимость в PHP-FPM "  –1 +/
Сообщение от Онаним (?), 29-Окт-21, 00:35 
На шаредах FPM - это угрё... утопи... нонсенс в общем :D
Насчёт ECC яхз, ECC память стоит не сильно дороже обычной по факту ныне.
Ответить | Правка | Наверх | Cообщить модератору

46. "Локальная root-уязвимость в PHP-FPM "  –1 +/
Сообщение от kissmyass (?), 29-Окт-21, 01:13 
> На шаредах FPM - это угрё... утопи... нонсенс в общем :D
> Насчёт ECC яхз, ECC память стоит не сильно дороже обычной по факту
> ныне.

так они в новости пишут что с какой-то версии это часть PHP, а не просто отдельный компонент

> Уязвимость проявляется начиная с версии PHP 5.3.7, в которую был интегрирован PHP-FPM.

--

если регистровая так еще и дешевле, больше цена зависит от размера модуля, сильно крупные модули сильно дороже даже регистровые

но суть это не меняем, установка ECC в дедикейтед всё еще опция у многих ISP

Ответить | Правка | Наверх | Cообщить модератору

69. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Онаним (?), 29-Окт-21, 20:07 
На самом деле отдельный бинарник.
Ответить | Правка | Наверх | Cообщить модератору

39. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Аноним (39), 28-Окт-21, 23:22 
Забавно - в комментах пишут про мертвый язык или нескучный язык, а уязвимость в fpm_children.c  
Ответить | Правка | Наверх | Cообщить модератору

51. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Аноним (51), 29-Окт-21, 05:05 
Уязвимость вызвана сохранением указателей в область разделяемой памяти (scoreboard), применяемой для организации взаимодействия между дочерним и родительским процессом PHP-FPM.

Общая память к языку программирования не имеет отношения.

Ответить | Правка | Наверх | Cообщить модератору

47. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от gogo (?), 29-Окт-21, 02:48 
> Основные дистрибутивы выпустили обновления пакетов с устранением уязвимости

у RHEL статус CVE - New. Нифига они не выпустили. Ещё конь не валялся...

Ответить | Правка | Наверх | Cообщить модератору

52. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Аноним (52), 29-Окт-21, 05:14 
А кто мешает запускать php-fpm не под root-ом?

  name                    user
php-fpm             php-fpm(not root)
    |- php-fpm      php-fpm(not root)
    |- php-fpm      php-fpm(not root)

Ответить | Правка | Наверх | Cообщить модератору

54. "Локальная root-уязвимость в PHP-FPM "  +1 +/
Сообщение от Нанобот (ok), 29-Окт-21, 08:38 
У сабжа одна из ключевых фич - запуск рабочих процессов от других пользователей (ability to start workers with different uid/gid/chroot/environment), для нее нужны права рут.
Ответить | Правка | Наверх | Cообщить модератору

74. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Аноним (52), 29-Окт-21, 22:54 
В systemd возможно запустить php-fpm(main process) не от root, также включить всякую там защиту и т.д. Просто надо научиться читать документацию. Порты в firewall перенаправить выше 1000, также nginx должен работать под своим user-ом и не иметь доступ даже на чтение php файлов. Нужно понять, что бесплатно никто не даст гарантии безопасности, именно сейчас, может в будущем люди станут мудрее..........
Ответить | Правка | Наверх | Cообщить модератору

70. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от lindevel (ok), 29-Окт-21, 21:35 
Дякую, я й не знав, що так можна
Ответить | Правка | К родителю #52 | Наверх | Cообщить модератору

75. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от SubGun (??), 30-Окт-21, 01:06 
Лень мешает. Люди настолько обленились, что хотят безопасности по дефолту. БД открыта наружу - виноват не админ сервера, а разработчик, который не делает по-умолчанию бинд на локалхост. Так же и тут.
Эпоха докера еще больше развратила людей. Бездумно ставят дефолтный образ и не видят в этом проблемы.
Ответить | Правка | К родителю #52 | Наверх | Cообщить модератору

53. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Какаянахренразница (ok), 29-Окт-21, 06:28 
Пойти, что ли, выполнить код с правами root из-под непривилегированного пользователя на хостинге... Хотя, кого я хакаю -- я сам себе хостер и мне нахрен не вср*лась эта уязвимость.
Ответить | Правка | Наверх | Cообщить модератору

77. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Онаним (?), 30-Окт-21, 14:50 
На хостингах обычно нет FPM, забудьте.
Ответить | Правка | Наверх | Cообщить модератору

78. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Какаянахренразница (ok), 31-Окт-21, 20:32 
> На хостингах обычно нет FPM, забудьте.

Обычно на моём хостинге есть PHP-FPM, ибо я сам его туда поставил.

Ответить | Правка | Наверх | Cообщить модератору

79. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Онаним (?), 31-Окт-21, 22:30 
А, ну сочувствую.
Ответить | Правка | Наверх | Cообщить модератору

73. "Локальная root-уязвимость в PHP-FPM "  +/
Сообщение от Аноним (52), 29-Окт-21, 22:31 
В systemd возможно запустить php-fpm(main process) не от root, также включить всякую там защиту и т.д. Просто надо научиться читать документацию. Порты в firewall перенаправить выше 1000, также nginx должен работать под своим user-ом и не иметь доступ даже на чтение php файлов. Нужно понять, что бесплатно никто не даст гарантии безопасности, именно сейчас, может в будущем люди станут мудрее..........
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру