使用NGINX应对PHP-FPM漏洞（CVE-2019-11043）

Owen Garrett产品管理高级总监

近期报告的一个漏洞，编号为CVE-2019-11043，可能会影响使用PHP‑FPM执行PHP页面的网站。由于NGINX没有进程内PHP运行时，因此使用NGINX的网站通常会使用PHP‑FPM。NGINX会充当应用服务器和PHP‑FPM等进程管理器的反向代理。

该漏洞存在于PHP‑FPM本身，而非NGINX，因此唯一能够确保解决该漏洞的方法是将所用PHP版本升级到以下已修复版本（或更高版本）：PHP 7.1.33、PHP 7.2.24或PHP 7.3.11。

该漏洞的性质是什么？

NGINX使用FastCGI协议与PHP‑FPM通信。每条FastCGI消息都包含一组环境变量。其中一个环境变量PATH_INFO由其他请求参数派生而来。如果其值意外为空，最终可能导致PHP‑FPM二进制文件发生内存损坏。攻击者可能会利用这种情况，使PHP‑FPM二进制文件在本地服务器上运行任意命令。

一种常见的NGINX配置可能会触发此漏洞。在该配置中，NGINX使用fastcgi_split_path_info指令中的正则表达式将请求URI拆分为两部分。触发此漏洞的一种方式是在请求URI中嵌入换行符（%0a）或回车符（%0d），导致正则表达式无法正确处理该请求URI。

缓解此漏洞

如上所述，解决此漏洞唯一确定有效的方法是将所用PHP版本升级到已修复的版本（或更高版本）：PHP 7.1.33、PHP 7.2.24或PHP 7.3.11。

如果无法立即升级PHP二进制文件，可以采取以下几种部分缓解措施：

1. 多个来源建议在NGINX配置中添加try_files指令，以验证$uri变量是否解析为文件（PHP脚本）；如果不是，则使用状态码404 (Not Found)拒绝该请求：

location ~ [^/]\.php(/|$) {    fastcgi_split_path_info ^(.+?\.php)(/.*)$;
    fastcgi_param           PATH_INFO $fastcgi_path_info;
    try_files               $uri =404;
    #...
}

1. 请注意，此缓解措施仅在NGINX和PHP‑FPM位于同一主机并共享同一文档根目录时有效。PHP配置会因上游应用的需求而异。请测试此类更改，确认其不会影响您的应用。
2. 使用F5 BIG-IP ASM（应用安全管理器）保护应用程序。现有的“命令执行”和“服务器端代码注入”特征集包含攻击特征，可阻止大多数发现和利用此PHP‑FPM漏洞的尝试。编者注：本博客发布后，F5安全团队又发布了一个专门针对该漏洞的特征。有关详细信息，请参阅F5 DevCentral。
3. 添加一条ModSecurity规则，以阻止包含可疑字符%0a或%0d的请求：

SecRule REQUEST_URI "@rx %0(a|A|d|D)" "id:1,phase:1,t:lowercase,deny"

1. 此解决方案在Wallarm 关于该漏洞的原始报告中有所说明；它可能会导致误报，攻击者仍可能找到其他方式利用该漏洞。

使用其他PHP进程管理器

无需依赖PHP‑FPM，您可以使用NGINX Unit运行PHP应用。NGINX Unit是一款高性能的开源应用服务器和进程管理器，除PHP外，还支持多种语言和框架。它可以根据负载自动扩缩PHP应用，并同时运行使用不同PHP运行时的应用。我们免费提供二进制文件、源代码和Docker镜像。

请参阅NGINX Unit文档，了解如何为WordPress配置和运行NGINX Unit。WordPress是一款广受欢迎、流量较高且由PHP驱动的应用程序。此部署利用了NGINX Unit 1.11.0及更高版本中对静态文件服务的支持。

关于作者

Owen Garrett产品管理高级总监

Owen Garrett 的更多博客文章