CVE-2019-11046
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 90 - wyżej niż 90% wszystkich znanych CVE
Streszczenie
W wersjach PHP 7.2.x poniżej 7.2.26, 7.3.x poniżej 7.3.13 oraz 7.4.0, funkcje rozszerzenia bcmath na niektórych systemach, w tym Windows, mogą zostać oszukane do odczytu poza przydzielonym obszarem pamięci poprzez podanie ciągu znaków zawierającego znaki identyfikowane przez system operacyjny jako numeryczne, ale niebędące cyframi ASCII. Może to prowadzić do ujawnienia zawartości niektórych lokalizacji pamięci.
Ocena ryzyka
Ryzyko ujawnienia danych z pamięci, co może prowadzić do wycieku wrażliwych informacji lub dalszych ataków.
Rekomendacja
Zaktualizuj PHP do wersji 7.2.26 lub nowszej, 7.3.13 lub nowszej, albo 7.4.1 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
In PHP versions 7.2.x below 7.2.26, 7.3.x below 7.3.13 and 7.4.0, PHP bcmath extension functions on some systems, including Windows, can be tricked into reading beyond the allocated space by supplying it with string containing characters that are identified as numeric by the OS but aren't ASCII numbers. This can read to disclosure of the content of some memory locations.