Két újabb biztonsági rést fedeztek fel a PHP programozási nyelvben.

A Security Online szerint két új PHP sebezhetőséget fedeztek fel, amelyek a CVE-2023-3823 és a CVE-2023-3824 azonosítókat kapták. A 8,6-os CVSS indexű CVE-2023-3823 sebezhetőség egy információ-kiszivárgási sebezhetőség, amely lehetővé teszi a távoli támadók számára, hogy érzékeny információkat szerezzenek a PHP alkalmazásokból.

Ez a sebezhetőség a felhasználó által megadott XML bemenet hiányos validációjából ered. A támadó kihasználhatja ezt egy speciálisan létrehozott XML fájl elküldésével az alkalmazásnak. Az alkalmazás ezután elemzi a kódot, lehetővé téve a támadó számára, hogy bizalmas információkhoz, például rendszerfájlok tartalmához vagy külső kérések eredményeihez férjen hozzá.

A veszély abban rejlik, hogy minden olyan alkalmazás, könyvtár vagy szerver, amely XML dokumentumokat elemez vagy velük kapcsolatba lép, sebezhető ezzel a hibával szemben.

Mivel széles körben használt programozási nyelv, a PHP komoly biztonsági résekkel rendelkezik.

Eközben a CVE-2023-3824 számú sebezhetőség egy puffer túlcsordulásos sebezhetőség 9,4-es CVSS pontszámmal, amely lehetővé teszi a távoli támadók számára, hogy tetszőleges kódot futtassanak egy PHP alapú rendszeren. Ezt a sebezhetőséget egy PHP függvény okozza, amely nem megfelelően ellenőrzi a korlátokat. A támadó kihasználhatja ezt egy speciális kérés küldésével az alkalmazásnak, ezáltal puffer túlcsordulást okozva és átveve az irányítást a rendszer felett tetszőleges kód futtatásához.

Emiatt a veszély miatt a felhasználóknak azt tanácsoljuk, hogy a lehető leghamarabb frissítsék rendszereiket a PHP 8.0.30-as verziójára. Ezenkívül lépéseket kell tenniük a PHP-alkalmazások támadások elleni védelme érdekében, például hitelesítsék az összes felhasználói bevitelt és használjanak webalkalmazás-tűzfalat (WAF).

Forráslink: https://thanhnien.vn/ngon-ngu-lap-trinh-php-bi-phat-hien-them-2-lo-hong-bao-mat-185230810094005089.htm