¿FCGId usa variables de entorno? (¿O es un posible vector de ataque para CVE-2014-6271 / 7169?)

Question

¿FCGId usa variables de entorno? (¿O es un posible vector de ataque para CVE-2014-6271 / 7169?)

#1 de Mark (1 votos)

3

enlace :

Los scripts CGI probablemente se vean afectados por este problema: cuando un script CGI   Es ejecutado por el servidor web, usa variables de entorno para pasar datos.   al guión. Estas variables de entorno pueden ser controladas por la   agresor. Si el script CGI llama a Bash, el script podría ejecutarse   Código arbitrario como usuario httpd. mod_php , mod_perl y mod_python do    no utilizamos variables de entorno y creemos que no están afectadas .

mod_php no es vulnerable a CVE-2014-6271 y CVE-2014-7169 porque no usa variables de entorno. ¿Mod_fcgid 2.x usa variables de entorno?

exploit bash php attack-vector cve

pregunta Gaia 25.09.2014 - 22:34

fuente

1 respuesta

Lea otras preguntas en las etiquetas exploit bash php attack-vector cve

Anonimizando datos confidenciales en MySQL DB manteniendo la capacidad de búsqueda [cerrado] ¿Cuál es el punto de las puertas de enlace de correo electrónico seguras?

score 1 · Accepted Answer

mod_fcgi en sí mismo no es vulnerable: habla con Apache a través de la comunicación entre procesos en lugar de las variables de entorno del CGI tradicional. Cualquier secuencia de comandos CGI que se ejecute a través de mod_fcgi aún puede ser vulnerable si 1) puede ser forzada a establecer variables de entorno y 2) invocar a bash (por ejemplo, a través de una llamada system() o interpolación backtick).