资安公司Synacktiv研究人员揭露FastCGI函式库存在高风险漏洞CVE-2025-23016，攻击者可藉由特製请求触发整数溢位并导致堆积溢位，在特定部署情境进一步控制应用程序流程，达到执行任意程序码的目的。由于该函式库广泛用于轻量级Web应用，尤其是在摄影机、路由器等资源受限的嵌入式装置，风险影响不容忽视。
该漏洞发生于FastCGI协定处理环境变数参数时，对键名与数值长度的加总运算缺乏严谨的整数上限检查。在32位元系统上，攻击者可透过设置异常巨大的参数长度，使记忆体配置过程发生整数溢位，导致malloc()错误分配过小的记忆体空间，进而产生堆积溢位。当攻击者进一步掌握资料布局，便有机会覆写FastCGI函式库中的FCGX_Stream结构，将内部的函式指标如fillBuffProc改写为任意位置，例如指向系统呼叫，最终触发恶意指令执行。?此次研究团队搭建实验环境，重现漏洞攻击流程。他们以lighttpd结合FastCGI模组提供网页服务，并在设定不当的情况下，将FastCGI Socket埠口对外开放，使攻击者能从远端发送恶意请求。研究进一步证实，在未启用PIE（Position Independent Executable）保护机制的环境，攻击者可利用已知的PLT（Procedure Linkage Table）位址完成命令执行，成功取得目标系统的壳层权限。
儘管FastCGI历史悠久且一向以稳定着称，过去也少有重大漏洞纪录，但此次事件显示，在嵌入式部署与旧版系统，仍可能潜藏资安风险。开发者与系统管理员应尽快检查所使用的FastCGI函式库版本，并更新至已修补的2.4.5版。此外，建议改以UNIX Socket取代TCP Socket，避免将FastCGI介面直接暴露于网路，以降低被攻击的风险。
