Alert GCSA-19112 - Vulnerabilita' in PHP 7

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

******************************************************************

Alert ID : GCSA-19112
Data : 27 ottobre 2019
Titolo : Vulnerabilita' in PHP 7

******************************************************************


:: Descrizione del problema:

E' stata identificata una vulnerabilita' in PHP 7, che puo' essere sfruttata
da un attaccante remoto per eseguire codice arbitrario su server web Nginx.


:: Versioni interessate:

PHP 7 precedenti alla 7.3.11 e 7.2.24 su server web Nginx con Fast Process 
Manager (FPM) abilitato.


:: Impatto:

Esecuzione di codice arbitrario. In una configurazione standard di Nginx con
FPM abilitato, e' possibile forzare da remoto la regular expression in 
fastcgi_split_path_info definita nella configurazione, per ottenere che il 
parametro PATH_INFO sia vuoto. Dopodiche', la procedura usata in FPM per i 
puntatori alla variabile consente, usando una sequenza di path e query di 
lunghezze opportune, di ottenere l'esecuzione di codice arbitrario. 


:: Soluzioni:

Aggiornare PHP 7 alle ultime versioni (7.3.11 e 7.2.24).
https://www.php.net/downloads.php#v7.3.11


:: Riferimenti:

Exploit for CVE-2019-11043 su GitHub
https://github.com/neex/phuip-fpizdam

PHP.NET:
https://bugs.php.net/bug.php?id=78599


GARR CERT Newsletter subscribe/unsubscribe:
https://www.cert.garr.it/alert/ricevi-gli-alert-di-cert

-----BEGIN PGP SIGNATURE-----

iF0EARECAB0WIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCXbWwkwAKCRDBnEyTZRJg
QsCRAKDb2qD1mb27b1+de2pRWubFvARm9QCfdemUgosbj8HNWzAh4I1ZIEBDqJk=
=53Fw
-----END PGP SIGNATURE-----