Két újabb biztonsági rést fedeztek fel a PHP programozási nyelv

A Security Online szerint két új PHP sebezhetőséget fedeztek fel, melyeket CVE-2023-3823 és CVE-2023-3824 azonosítóval láttak el. A CVE-2023-3823 hiba CVSS pontszáma 8,6, és egy információ-kiszivárgási sebezhetőség, amely lehetővé teszi a távoli támadók számára, hogy érzékeny információkat szerezzenek a PHP alkalmazásból.

Ez a sebezhetőség a felhasználó által megadott XML bemenet nem megfelelő validációjának köszönhető. A támadó kihasználhatja ezt egy speciálisan létrehozott XML fájl elküldésével az alkalmazásnak. Az alkalmazás elemzi a kódot, és a támadó hozzáférhet érzékeny információkhoz, például a rendszeren található fájlok tartalmához vagy a külső kérések eredményeihez.

A veszély az, hogy minden olyan alkalmazás, könyvtár és szerver, amely XML dokumentumokat elemez vagy velük interakcióba lép, sebezhető ezzel a sebezhetőséggel szemben.

Mivel ma egy népszerű programozási nyelv, a PHP biztonsági hibái komolyak.

Eközben a CVE-2023-3824 egy puffer túlcsordulásos sebezhetőség 9,4-es CVSS pontszámmal, amely lehetővé teszi a távoli támadók számára, hogy tetszőleges kódot futtassanak PHP-t futtató rendszereken. A sebezhetőséget a PHP egy olyan függvénye okozza, amely nem megfelelő határérték-ellenőrzést végez. A támadó kihasználhatja ezt egy speciálisan létrehozott kérés küldésével az alkalmazásnak, ezáltal puffer túlcsordulást okozva és a rendszer feletti irányítást átvéve tetszőleges kód futtatásához.

Emiatt a veszély miatt a felhasználóknak azt javasoljuk, hogy a lehető leghamarabb frissítsék rendszereiket a PHP 8.0.30-as verziójára. Ezenkívül lépéseket kell tenni a PHP alkalmazások támadások elleni védelme érdekében, például ellenőrizni kell az összes felhasználói bevitelt és webalkalmazás-tűzfalat (WAF) kell használni.

Forráslink: https://thanhnien.vn/ngon-ngu-lap-trinh-php-bi-phat-hien-them-2-lo-hong-bao-mat-185230810094005089.htm