Podatności PHP

PHP w wersjach przed 5.6.7 może pozwolić zdalnym atakującym na spowodowanie awarii aplikacji (denial of service) lub potencjalne wykonanie dowolnego kodu poprzez nieoczekiwany typ danych, związany z problemami 'type confusion'.

Metoda SoapFault::__toString w PHP przed wersją 5.4.40, 5.5.x przed 5.5.24 oraz 5.6.x przed 5.6.8 pozwala zdalnym atakującym na uzyskanie wrażliwych informacji, spowodowanie odmowy usługi (awaria aplikacji) lub potencjalne wykonanie dowolnego kodu poprzez nieoczekiwany typ danych, związany z problemem 'type confusion'.

W podatności CVE-2015-4116 występuje błąd use-after-free w funkcji spl_ptr_heap_insert w PHP przed wersją 5.5.27 oraz 5.6.x przed 5.6.11. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu poprzez wywołanie nieudanego działania porównawczego w SplMinHeap.

Funkcja gdImageRotateInterpolated w PHP przed wersją 5.5.31, 5.6.x przed 5.6.17 oraz 7.x przed 7.0.2 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji lub spowodowanie odmowy usługi poprzez przekazanie dużego argumentu bgd_color do funkcji imagerotate.

Filtry strumieniowe convert.base64-encode, convert.quoted-printable-encode i convert.quoted-printable-decode akceptują opcję line-break-chars, której długość jest śledzona oddzielnie od samego ciągu. Konstruktory filtrów duplikują wartość za pomocą pestrdup(), które zatrzymuje się na pierwszym bajcie NUL, zachowując oryginalną długość. Gdy filtr później emituje znak nowej linii, kopiuje zarejestrowaną długość z niepełnej alokacji, czytając poza jej końcem i umieszczając sąsiednie bajty sterty w wyjściu filtra.

Gałąź IPv6 w kontroli dostępu klienta FastCGI porównuje tylko pierwsze 12 bajtów z 16-bajtowego adresu IPv6, więc listen.allowed_clients dopasowuje prefiks /96 zamiast dokładnego adresu. Atakujący, który może użyć adresu źródłowego dzielącego pierwsze 96 bitów z dozwolonym adresem, przechodzi kontrolę i dociera do punktu końcowego FastCGI.

Okrągłe dowiązania symboliczne w archiwach phar mogą prowadzić do nieograniczonej rekurencji, wyczerpując stos C i powodując awarię procesu PHP. Podatność dotyczy PHP w wersjach od 8.2.* przed 8.2.33, od 8.3.* przed 8.3.33, od 8.4.* przed 8.4.24 oraz od 8.5.* przed 8.5.9.

W implementacji algorytmu AES-WRAP-PAD w rozszerzeniu OpenSSL dla PHP występuje błąd alokacji bufora. Rozmiar bufora wyjściowego jest określany na podstawie długości tekstu jawnego bez uwzględnienia rozszerzenia zgodnego z RFC 5649, co może prowadzić do zapisu poza przydzieloną pamięcią.

Podatność w PHP (wersje 8.4.* przed 8.4.21 i 8.5.* przed 8.5.6) w metodzie DOMNode::C14N() powoduje nieprawidłowe przetwarzanie danych XML, prowadząc do powstania cyklicznej listy połączonej w strukturze danych dokumentu XML. Może to spowodować nieskończoną pętlę podczas dalszego przetwarzania, prowadząc do odmowy usługi (DoS).

W PHP wersje 8.2.* przed 8.2.31, 8.3.* przed 8.3.31, 8.4.* przed 8.4.21 i 8.5.* przed 8.5.6 funkcja metaphone() używa zmiennej typu signed int do śledzenia pozycji w ciągu wejściowym. Przekazanie ciągu dłuższego niż 2 147 483 647 bajtów powoduje przepełnienie liczby całkowitej ze znakiem, co prowadzi do niezdefiniowanego zachowania, odczytu poza zakresem, błędu segmentacji i potencjalnego naruszenia dostępności procesu PHP.

W PHP w wersjach 8.2.* przed 8.2.31, 8.3.* przed 8.3.31, 8.4.* przed 8.4.21 i 8.5.* przed 8.5.6, gdy serwer SOAP ma skonfigurowaną mapę typów (typemap), proces dekodowania zawiera błąd polegający na sprawdzeniu niewłaściwej zmiennej w przypadku braku elementu wartości. Prowadzi to do dereferencji wskaźnika NULL i błędu segmentacji, co pozwala zdalnemu nieuwierzytelnionemu atakującemu na awarię procesu serwera PHP SOAP, powodując odmowę usługi.

W PHP wersje 8.2.* przed 8.2.31, 8.3.* przed 8.3.31, 8.4.* przed 8.4.21 i 8.5.* przed 8.5.6 występuje niezgodność list kodowań w Oniguruma i mbfl, prowadząca do wyłuskania wskaźnika NULL i odmowy usługi. Podatność można wykorzystać, gdy dane wejściowe wpływają na kodowanie przekazane do mb_regex_encoding().

W PHP w wersjach 8.2.* przed 8.2.31, 8.3.* przed 8.3.31, 8.4.* przed 8.4.21 i 8.5.* przed 8.5.6, funkcje takie jak urldecode() przekazują signed char do funkcji ctype (np. isxdigit()). Na systemach z domyślnym signed char i optymalizacją tablicową funkcji ctype (np. NetBSD) może to prowadzić do dostępu do tablicy z ujemnym offsetem, co może spowodować odmowę usługi.

W PHP w wersjach 8.2.* przed 8.2.31, 8.3.* przed 8.3.31, 8.4.* przed 8.4.21, 8.5.* przed 8.5.6, z powodu nieprawidłowej sanityzacji danych użytkownika, atakujący może skonstruować URL, który spowoduje wykonanie dowolnego kodu JavaScript (XSS) na maszynie ofiary podczas przeglądania strony statusu PHP-FPM.

W PHP w wersjach 8.1.* przed 8.1.34, 8.2.* przed 8.2.30, 8.3.* przed 8.3.29, 8.4.* przed 8.4.16, 8.5.* przed 8.5.1, przy użyciu sterownika PDO PostgreSQL z włączonym PDO::ATTR_EMULATE_PREPARES, nieprawidłowa sekwencja znaków (np. \x99) w parametrze prepared statement może spowodować, że funkcja PQescapeStringConn zwróci NULL, prowadząc do dereferencji null pointer w funkcji pdo_parse_params(). Może to powodować awarie (segmentation fault) i wpływać na dostępność serwera.

W PHP w wersjach 8.1.* przed 8.1.34, 8.2.* przed 8.2.30, 8.3.* przed 8.3.29, 8.4.* przed 8.4.16 oraz 8.5.* przed 8.5.1 wykryto przepełnienie bufora sterty w funkcji array_merge() przy przekroczeniu 32-bitowych limitów liczby elementów tablic lub HT_MAX_SIZE, spowodowane przepełnieniem liczby całkowitej w prekomputacji liczby elementów przy użyciu zend_hash_num_elements(). Może to prowadzić do uszkodzenia pamięci lub awarii oraz wpływać na integralność i dostępność serwera.

W PHP w wersjach 8.1.* przed 8.1.34, 8.2.* przed 8.2.30, 8.3.* przed 8.3.29, 8.4.* przed 8.4.16, 8.5.* przed 8.5.1 funkcja getimagesize() może ujawnić niezainicjowaną pamięć sterty w segmentach APPn (np. APP1) podczas odczytu obrazów w trybie wieloczęściowym (np. przez php://filter). Występuje to z powodu błędu w php_read_stream_all_chunks(), który nadpisuje bufor bez przesuwania wskaźnika, pozostawiając niezinicjowane bajty końcowe, co może prowadzić do ujawnienia poufnych danych z pamięci serwera.

Nisko uprzywilejowany zdalny atakujący może przesłać nowy lub nadpisać istniejący skrypt Pythona, wykorzystując path traversal nazwy pliku docelowego w PHP. Prowadzi to do zdalnego wykonania kodu.

W wersjach PHP 8.0.* przed 8.0.29, 8.1.* przed 8.1.20 oraz 8.2.* przed 8.2.7, podczas korzystania z uwierzytelniania SOAP HTTP Digest, generator wartości losowych nie był sprawdzany pod kątem błędów i używał węższego zakresu wartości niż powinien. W przypadku awarii generatora losowego, może to prowadzić do ujawnienia 31 bitów niezainicjowanej pamięci z klienta do serwera.

W PHP 8.0.x przed 8.0.28, 8.1.x przed 8.1.16 oraz 8.2.x przed 8.2.3 funkcja password_verify() może akceptować niektóre nieprawidłowe skróty Blowfish jako poprawne. Jeśli taki nieprawidłowy skrót trafi do bazy haseł, może to umożliwić aplikacji uznanie dowolnego hasła dla tego wpisu za prawidłowe.

W wersjach PHP 7.2.x poniżej 7.2.26, 7.3.x poniżej 7.3.13 oraz 7.4.0, funkcje rozszerzenia bcmath na niektórych systemach, w tym Windows, mogą zostać oszukane do odczytu poza przydzielonym obszarem pamięci poprzez podanie ciągu znaków zawierającego znaki identyfikowane przez system operacyjny jako numeryczne, ale niebędące cyframi ASCII. Może to prowadzić do ujawnienia zawartości niektórych lokalizacji pamięci.

Funkcja error_log w basic_functions.c w PHP przed 4.4.4 i 5.x przed 5.1.5 pozwala lokalnym użytkownikom obejść tryb safe mode i ograniczenia open_basedir poprzez użycie "php://" lub innego schematu w trzecim argumencie, co wyłącza safe mode. Może to prowadzić do nieautoryzowanego dostępu do plików.