Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-120

CVE-2019-11043

PHP-FPM'deki alt taşma hatası uzaktan kod çalıştırmaya yol açabiliyor

PHP

Yüksek 8,7 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2557 gün
Kaydı açan
php
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 25 Mar 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 15 Nis 2022. Fidye yazılımı saldırılarında da kullanılmış.

ÖzetTürkçe

PHP sürümleri 7.1.x (7.1.33 öncesi), 7.2.x (7.2.24 öncesi) ve 7.3.x (7.3.11 öncesi) için, FPM kurulumunun belirli yapılandırmalarında FPM modülünün ayrılmış tamponların ötesine, FCGI protokol verilerinin tutulduğu alana yazmasına neden olunabilmektedir. Bu durum uzaktan kod çalıştırma olasılığını doğurmaktadır.

Kaynaktaki açıklama (İngilizce)

In PHP versions 7.1.x below 7.1.33, 7.2.x below 7.2.24 and 7.3.x below 7.3.11 in certain configurations of FPM setup it is possible to cause FPM module to write past allocated buffers into the space reserved for FCGI protocol data, thus opening the possibility of remote code execution.

Üreticinin geçici önlemi (İngilizce)

Configuring nginx (or other server that implements the front-end part of the FPM protocol) to check for the existence of the target file before passing it to PHP FPM (e.g. "try_files $uri =404" or "if (-f $uri)" in nginx) for would prevent this vulnerability from happening.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
PHP ≥ 7.1.x, < 7.1.33 7.1.33
≥ 7.2.x, < 7.2.24 7.2.24
≥ 7.3.x, < 7.3.11 7.3.11

Kaynaklar27 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.