שפת התכנות PHP גילתה שתי פגיעויות אבטחה נוספות

על פי Security Online , התגלו שתי פגיעויות חדשות ב-PHP וקיבלו את המזהים CVE-2023-3823 ו-CVE-2023-3824. לבאג CVE-2023-3823 ציון CVSS של 8.6 והוא פגיעות של גילוי מידע, המאפשרת לתוקפים מרוחקים להשיג מידע רגיש מיישום PHP.

פגיעות זו נובעת מאימות לא מספק של קלט XML שסופק על ידי המשתמש. תוקף עלול לנצל אותה על ידי שליחת קובץ XML שנוצר במיוחד לאפליקציה. הקוד ינותח על ידי האפליקציה והתוקף עלול לקבל גישה למידע רגיש, כגון תוכן קבצים במערכת או תוצאות של בקשות חיצוניות.

הסכנה היא שכל יישום, ספרייה ושרת שמנתחים או מקיימים אינטראקציה עם מסמכי XML פגיעים לפגיעות זו.

כשפת תכנות פופולרית כיום, פגמי האבטחה של PHP חמורים.

בינתיים, CVE-2023-3824 היא פגיעות של גלישת מאגר (buffer overflow) עם ציון CVSS של 9.4, המאפשרת לתוקפים מרוחקים לבצע קוד שרירותי במערכות המריצות PHP. הפגיעות נובעת מפונקציה ב-PHP שמבצעת בדיקת גבולות לא נכונה. תוקף יכול לנצל אותה על ידי שליחת בקשה מיוחדת ליישום, ובכך לגרום לגלישה של מאגר ולהשיג שליטה על המערכת כדי לבצע קוד שרירותי.

עקב סכנה זו, מומלץ למשתמשים לעדכן את המערכות שלהם לגרסה 8.0.30 של PHP בהקדם האפשרי. בנוסף, יש לנקוט צעדים כדי להגן על יישומי PHP מפני התקפות, כגון אימות כל קלט המשתמש ושימוש בחומת אש של יישומי אינטרנט (WAF).

קישור למקור: https://thanhnien.vn/ngon-ngu-lap-trinh-php-bi-phat-hien-them-2-lo-hong-bao-mat-185230810094005089.htm