שפת התכנות PHP גילתה שתי פגיעויות אבטחה נוספות

על פי Security Online , התגלו שתי פגיעויות חדשות ב-PHP וקיבלו את המזהים CVE-2023-3823 ו-CVE-2023-3824. לבאג CVE-2023-3823 ציון CVSS של 8.6 והוא פגיעות של גילוי מידע המאפשרת לתוקפים מרוחקים להשיג מידע רגיש מיישום PHP.

פגיעות זו נובעת מאימות לא מספק של קלט XML שסופק על ידי המשתמש. תוקף עלול לנצל אותה על ידי שליחת קובץ XML שנוצר במיוחד לאפליקציה. הקוד ינותח על ידי האפליקציה והתוקף עלול לגשת למידע רגיש, כגון תוכן קבצים במערכת או תוצאות של בקשות חיצוניות.

הסכנה היא שכל יישום, ספרייה ושרת שמנתחים או מקיימים אינטראקציה עם מסמכי XML פגיעים לפגיעות זו.

כשפת תכנות פופולרית כיום, פגמי האבטחה של PHP חמורים.

בינתיים, CVE-2023-3824 היא פגיעות של גלישת מאגר (buffer overflow) עם ציון CVSS של 9.4, המאפשרת לתוקפים מרוחקים לבצע קוד שרירותי במערכות המריצות PHP. הפגיעות נובעת מפונקציה ב-PHP שאינה בודקת את גבולותיה כראוי. תוקף יכול לנצל אותה על ידי שליחת בקשה שנוצרה במיוחד לאפליקציה, מה שגורם לגלישה מאגרית ​​ועוזר להם להשיג שליטה על המערכת כדי לבצע קוד שרירותי.

עקב סכנה זו, מומלץ למשתמשים לעדכן את מערכותיהם לגרסה 8.0.30 של PHP בהקדם האפשרי. בנוסף, יש לנקוט צעדים כדי להגן על יישומי PHP מפני התקפות, כגון אימות כל קלטי המשתמש ושימוש בחומת אש של יישומי אינטרנט (WAF).

קישור למקור: https://thanhnien.vn/ngon-ngu-lap-trinh-php-bi-phat-hien-them-2-lo-hong-bao-mat-185230810094005089.htm