FastCGI存在重大漏洞，恐使嵌入式裝置遭遠端執行任意程式碼

資安公司Synacktiv研究人員揭露FastCGI函式庫存在高風險漏洞CVE-2025-23016，攻擊者可藉由特製請求觸發整數溢位並導致堆積溢位，在特定部署情境進一步控制應用程式流程，達到執行任意程式碼的目的。由於該函式庫廣泛用於輕量級Web應用，尤其是在攝影機、路由器等資源受限的嵌入式裝置，風險影響不容忽視。

該漏洞發生於FastCGI協定處理環境變數參數時，對鍵名與數值長度的加總運算缺乏嚴謹的整數上限檢查。在32位元系統上，攻擊者可透過設置異常巨大的參數長度，使記憶體配置過程發生整數溢位，導致malloc()錯誤分配過小的記憶體空間，進而產生堆積溢位。當攻擊者進一步掌握資料布局，便有機會覆寫FastCGI函式庫中的FCGX_Stream結構，將內部的函式指標如fillBuffProc改寫為任意位置，例如指向系統呼叫，最終觸發惡意指令執行。
 
此次研究團隊搭建實驗環境，重現漏洞攻擊流程。他們以lighttpd結合FastCGI模組提供網頁服務，並在設定不當的情況下，將FastCGI Socket埠口對外開放，使攻擊者能從遠端發送惡意請求。研究進一步證實，在未啟用PIE（Position Independent Executable）保護機制的環境，攻擊者可利用已知的PLT（Procedure Linkage Table）位址完成命令執行，成功取得目標系統的殼層權限。

儘管FastCGI歷史悠久且一向以穩定著稱，過去也少有重大漏洞紀錄，但此次事件顯示，在嵌入式部署與舊版系統，仍可能潛藏資安風險。開發者與系統管理員應盡快檢查所使用的FastCGI函式庫版本，並更新至已修補的2.4.5版。此外，建議改以UNIX Socket取代TCP Socket，避免將FastCGI介面直接暴露於網路，以降低被攻擊的風險。