Uwaga! Krytyczna podatność w NGINX + PHP zagraża serwerom!
Uwaga! Krytyczna podatność w NGINX + PHP zagraża serwerom!
Bezpieczeństwo serwerów z wykorzystaniem NGINX i PHP jest zagrożone z powodu nowo odkrytej podatności. Problem ten pozwala na zdalne przejęcie serwera, co może prowadzić do nieautoryzowanej egzekucji kodu. W pewnych konfiguracjach NGINX z PHP-FPM, błąd można wykorzystać z zewnątrz.
Informacje na temat tej luk w zabezpieczeniach ujawniono już w jednym z CTF, co sugeruje, że podatność była znana w pewnych kręgach. Autor analizy apeluje o jak najszybsze przygotowanie łatki, która, jak donosi, już została opracowana, ale oficjalna nowa wersja PHP jeszcze nie została wydana.
Warto zauważyć, że badacz opublikował exploit, co stawia administratorów w sytuacji konieczności natychmiastowego podjęcia działań. Jako tymczasowe rozwiązanie, można zastosować ustawienie w NGINX: try_files $uri =404, co w wielu dystrybucjach Linuksa, takich jak Debian, jest domyślnie konfigurowane.
Na podstawie: Źródła
