【検証】PHPのコマンド実行の脆弱性を悪用する攻撃通信の検知 (CVE-2019-11043)

2019年10月25日(日本時間)、PHP開発チームはPHP 7.1、7.2、7.3 において脆弱性 (CVE-2019-11043) を修正したバージョンを公開しました。 本脆弱性は、nginx と PHP-FPM を組み合わせた環境において以下のような設定がされている場合に、リモートコマンド実行が可能になるというものです。 location ~ [^/]\.php(/|$) { fastcgi_split_path_info ^(.+?\.php)(/.*)$; fastcgi_param PATH_INFO $fastcgi_path_info; fastcgi_pass php:9000; ... } nginx側の処理にてURLに改行コード(%0a, %0d)が含まれる際の不備に起因し、攻撃者は細工した悪意のあるリクエストをサーバに送ることで、本脆弱性を悪用してPHPの任意の設定