PHP · FastCGI Process Manager (FPM)
CVE-2019-11043
Underflow in PHP-FPM can lead to RCE
Τι είναι
In PHP versions 7.1.x below 7.1.33, 7.2.x below 7.2.24 and 7.3.x below 7.3.11 in certain configurations of FPM setup it is possible to cause FPM module to write past allocated buffers into the space reserved for FCGI protocol data, thus opening the possibility of remote code execution.
CISA: In some versions of PHP in certain configurations of FPM setup, it is possible to cause FPM module to write past allocated buffers allowing the possibility of remote code execution.
Τι να κάνετε
Apply updates per vendor instructions.
Προθεσμία για τις ομοσπονδιακές υπηρεσίες των ΗΠΑ: 15 Απριλίου 2022
- Προστέθηκε στη λίστα της CISA
- 25 Μαρτίου 2022
- Δημοσιεύθηκε
- 28 Οκτωβρίου 2019
- Σοβαρότητα
- Υψηλή 8,7 CVSS 3.1
- Πιθανότητα επιθέσεων τις επόμενες 30 ημέρες (EPSS)
- 99,7% στο κορυφαίο 0,1% όλων των γνωστών ευπαθειών
- Τύπος αδυναμίας
- CWE-120
- Περισσότερες λεπτομέρειες
- NVD · CVE.org · CISA
Όλες οι πηγές (20)
- https://usn.ubuntu.com/4166-1/
- https://www.debian.org/security/2019/dsa-4552
- https://www.debian.org/security/2019/dsa-4553
- https://usn.ubuntu.com/4166-2/
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/T62LF4ZWVV7O…
- https://access.redhat.com/errata/RHSA-2019:3286
- https://access.redhat.com/errata/RHSA-2019:3287
- https://access.redhat.com/errata/RHSA-2019:3299
- https://access.redhat.com/errata/RHSA-2019:3300
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/3W23TP6X4H7L…
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/FSNBUSPKMLUH…
- http://lists.opensuse.org/opensuse-security-announce/2019-11/msg00011.html
- https://access.redhat.com/errata/RHSA-2019:3724
- https://access.redhat.com/errata/RHSA-2019:3735
- https://access.redhat.com/errata/RHSA-2019:3736
- https://github.com/neex/phuip-fpizdam
- https://bugs.php.net/bug.php?id=78599
- https://support.f5.com/csp/article/K75408500?utm_source=f5support&%3Butm_medium=RSS
- https://security.netapp.com/advisory/ntap-20191031-0003/
- https://www.synology.com/security/advisory/Synology_SA_19_36
Περισσότερα κενά ασφαλείας της PHP που αξιοποιούνται
| Προστέθηκε | Ευπάθεια | Προϊόν | Σοβαρότητα | Πιθανότητα επίθεσης |
|---|---|---|---|---|
| 7 Ιουλ 2025 | Command Injection | PHPMailer | Κρίσιμη 9,8 | 99,7% |
| 25 Μαρ 2022 | PHP-CGI Query String Parameter | PHP | Κρίσιμη 9,8 | >99,9% |
Πηγές: Known Exploited Vulnerabilities (CISA, δημόσιος τομέας), CVE records (cve.org) και EPSS (FIRST). Η πιθανότητα επίθεσης είναι η εκτίμηση EPSS ότι κάποιος θα προσπαθήσει να εκμεταλλευτεί το κενό τις επόμενες 30 ημέρες.