Két újabb biztonsági rést fedeztek fel a PHP programozási nyelv

A Security Online szerint két új PHP sebezhetőséget fedeztek fel, amelyeket CVE-2023-3823 és CVE-2023-3824 azonosítókká rendeltek. A CVE-2023-3823 hiba CVSS pontszáma 8,6, és egy információ-kiszivárgási sebezhetőség, amely lehetővé teszi a távoli támadók számára, hogy érzékeny információkat szerezzenek a PHP alkalmazásból.

Ez a sebezhetőség a felhasználó által megadott XML bemenet nem megfelelő validációjának köszönhető. A támadó kihasználhatja ezt egy speciálisan létrehozott XML fájl elküldésével az alkalmazásnak. Az alkalmazás elemzi a kódot, és a támadó hozzáférhet érzékeny információkhoz, például a rendszeren található fájlok tartalmához vagy a külső kérések eredményeihez.

A veszély az, hogy minden olyan alkalmazás, könyvtár és szerver, amely XML dokumentumokat elemez vagy velük interakcióba lép, sebezhető ezzel a sebezhetőséggel szemben.

Mivel ma egy népszerű programozási nyelv, a PHP biztonsági hibái komolyak.

Eközben a CVE-2023-3824 egy puffer túlcsordulásos sebezhetőség 9,4-es CVSS pontszámmal, amely lehetővé teszi a távoli támadók számára, hogy tetszőleges kódot futtassanak PHP-t futtató rendszereken. A sebezhetőséget a PHP egy olyan függvénye okozza, amely nem ellenőrzi megfelelően a határait. A támadó kihasználhatja ezt egy speciálisan létrehozott kérés küldésével az alkalmazásnak, ami puffer túlcsordulást okoz, és segít nekik a rendszer feletti irányítás megszerzésében tetszőleges kód futtatásához.

Emiatt a veszély miatt a felhasználóknak azt tanácsoljuk, hogy a lehető leghamarabb frissítsék rendszereiket a PHP 8.0.30-as verziójára. Ezenkívül lépéseket kell tenni a PHP alkalmazások támadások elleni védelme érdekében, például az összes felhasználói bemenet validálásával és webalkalmazás-tűzfal (WAF) használatával.

Forráslink: https://thanhnien.vn/ngon-ngu-lap-trinh-php-bi-phat-hien-them-2-lo-hong-bao-mat-185230810094005089.htm