Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2020-00013

Опубликовано: 28 окт. 2019
Источник: fstec
CVSS3: 8.7
CVSS2: 7.1
EPSS Критический

Описание

Уязвимость компонента sapi/fpm/fpm/fpm_main.c расширения PHP-FPM интерпретатора языка программирования PHP связана с ошибками переполнения буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнять произвольные команды на уязвимом сервере с помощью специально сформированного URL

Вендор

ООО «РусБИТех-Астра»
Red Hat Inc.
Canonical Ltd.
Сообщество свободного программного обеспечения
Fedora Project
Novell Inc.
PHP Group
АО «ИВК»
АО «Концерн ВНИИНС»

Наименование ПО

Astra Linux Special Edition
Red Hat Enterprise Linux
Ubuntu
Debian GNU/Linux
Fedora
OpenSUSE Leap
PHP
Astra Linux Special Edition для «Эльбрус»
Альт 8 СП
ОС ОН «Стрелец»

Версия ПО

1.5 «Смоленск» (Astra Linux Special Edition)
6 (Red Hat Enterprise Linux)
7 (Red Hat Enterprise Linux)
16.04 LTS (Ubuntu)
9 (Debian GNU/Linux)
18.04 LTS (Ubuntu)
1.6 «Смоленск» (Astra Linux Special Edition)
8.0 (Debian GNU/Linux)
29 (Fedora)
12.04 ESM (Ubuntu)
19.04 (Ubuntu)
8 (Red Hat Enterprise Linux)
15.0 (OpenSUSE Leap)
15.1 (OpenSUSE Leap)
30 (Fedora)
14.04 ESM (Ubuntu)
10 (Debian GNU/Linux)
31 (Fedora)
19.10 (Ubuntu)
от 7.1.0 до 7.1.33 (PHP)
от 7.2.0 до 7.2.24 (PHP)
от 7.3.0 до 7.3.11 (PHP)
8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
- (Альт 8 СП)
до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.5 «Смоленск»
Red Hat Inc. Red Hat Enterprise Linux 6
Red Hat Inc. Red Hat Enterprise Linux 7
Canonical Ltd. Ubuntu 16.04 LTS
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Canonical Ltd. Ubuntu 18.04 LTS
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Сообщество свободного программного обеспечения Debian GNU/Linux 8.0
Fedora Project Fedora 29
Canonical Ltd. Ubuntu 12.04 ESM
Canonical Ltd. Ubuntu 19.04
Red Hat Inc. Red Hat Enterprise Linux 8
Novell Inc. OpenSUSE Leap 15.0
Novell Inc. OpenSUSE Leap 15.1
Fedora Project Fedora 30
Canonical Ltd. Ubuntu 14.04 ESM
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Fedora Project Fedora 31
Canonical Ltd. Ubuntu 19.10
ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»
АО «ИВК» Альт 8 СП -
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,1)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,7)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для PHP:
https://bugs.php.net/bug.php?id=78599
Для Debian GNU/Linux:
Обновление программного обеспечения (пакета php5) до 5.6.40+dfsg-0+deb8u7 или более поздней версии
Обновление программного обеспечения (пакета php7.0) до 7.0.33-0+deb9u6 или более поздней версии
Обновление программного обеспечения (пакета php7.3) до 7.3.11-1~deb10u1 или более поздней версии
Для программных продуктов Novell Inc.:
https://lists.opensuse.org/opensuse-security-announce/2019-11/msg00011.html
https://lists.opensuse.org/opensuse-security-announce/2019-11/msg00014.html
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/3W23TP6X4H7LB645FYZLUPNIRD5W3EPU/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/FSNBUSPKMLUHHOADROKNG5GDWDCRHT5M/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/T62LF4ZWVV7OMMIZFO6IFO5QLZKK7YRD/
Для Ubuntu:
https://usn.ubuntu.com/4166-2/
https://usn.ubuntu.com/4166-1/
Для программных продуктов Red Hat Inc.:
https://bugzilla.redhat.com/show_bug.cgi?id=1766378
Для Astra Linux:
Обновление программного обеспечения (пакета php5) до 5.6.40+dfsg-0+deb8u7 или более поздней версии
Обновление программного обеспечения (пакета php7.0) до 7.0.33-0+deb9u6 или более поздней версии
Обновление программного обеспечения (пакета php7.3) до 7.3.11-1~deb10u1 или более поздней версии
Для PHP 5:
Обновление программного обеспечения до 5.6.40+dfsg-0+deb8u7 или более поздней версии
Для PHP 7.0:
Обновление программного обеспечения до 7.0.33-0+deb9u6 или более поздней версии
Для PHP 7.3:
Обновление программного обеспечения до 7.3.10-1 или более поздней версии
Для ОС ОН «Стрелец»:
Обновление программного обеспечения php7.0 до версии 7.0.33.repack1-0+deb9u10.osnova6
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 100%
0.94114
Критический

8.7 High

CVSS3

7.1 High

CVSS2

Связанные уязвимости

CVSS3: 8.7
ubuntu
больше 5 лет назад

In PHP versions 7.1.x below 7.1.33, 7.2.x below 7.2.24 and 7.3.x below 7.3.11 in certain configurations of FPM setup it is possible to cause FPM module to write past allocated buffers into the space reserved for FCGI protocol data, thus opening the possibility of remote code execution.

CVSS3: 8.1
redhat
больше 5 лет назад

In PHP versions 7.1.x below 7.1.33, 7.2.x below 7.2.24 and 7.3.x below 7.3.11 in certain configurations of FPM setup it is possible to cause FPM module to write past allocated buffers into the space reserved for FCGI protocol data, thus opening the possibility of remote code execution.

CVSS3: 8.7
nvd
больше 5 лет назад

In PHP versions 7.1.x below 7.1.33, 7.2.x below 7.2.24 and 7.3.x below 7.3.11 in certain configurations of FPM setup it is possible to cause FPM module to write past allocated buffers into the space reserved for FCGI protocol data, thus opening the possibility of remote code execution.

CVSS3: 8.7
debian
больше 5 лет назад

In PHP versions 7.1.x below 7.1.33, 7.2.x below 7.2.24 and 7.3.x below ...

suse-cvrf
больше 5 лет назад

Security update for php7

EPSS

Процентиль: 100%
0.94114
Критический

8.7 High

CVSS3

7.1 High

CVSS2