Programmeringsspråket PHP oppdaget to nye sikkerhetsproblemer

Ifølge Security Online ble to nye sårbarheter i PHP oppdaget og tildelt identifikatorene CVE-2023-3823 og CVE-2023-3824. CVE-2023-3823-feilen har en CVSS-poengsum på 8,6 og er en sårbarhet for informasjonsavsløring, som lar eksterne angripere få tak i sensitiv informasjon fra PHP-applikasjonen.

Denne sårbarheten skyldes utilstrekkelig validering av brukerleverte XML-inndata. En angriper kan utnytte den ved å sende en spesiallaget XML-fil til programmet. Koden vil bli analysert av programmet, og angriperen kan få tilgang til sensitiv informasjon, for eksempel innholdet i filer på systemet eller resultatene av eksterne forespørsler.

Faren er at alle applikasjoner, biblioteker og servere som analyserer eller samhandler med XML-dokumenter er sårbare for denne sårbarheten.

Som et populært programmeringsspråk i dag, er PHPs sikkerhetsfeil alvorlige.

I mellomtiden er CVE-2023-3824 en bufferoverløpssårbarhet med en CVSS-poengsum på 9,4, som lar eksterne angripere kjøre vilkårlig kode på systemer som kjører PHP. Sårbarheten skyldes en funksjon i PHP som utfører feil grensesjekk. En angriper kan utnytte den ved å sende en spesiallaget forespørsel til applikasjonen, og dermed forårsake bufferoverløp og få kontroll over systemet for å kjøre vilkårlig kode.

På grunn av denne faren anbefales brukere å oppdatere systemene sine til PHP versjon 8.0.30 så snart som mulig. I tillegg bør det tas grep for å beskytte PHP-applikasjoner mot angrep, for eksempel å validere all brukerinput og bruke en brannmur for nettapplikasjoner (WAF).

Kildekobling: https://thanhnien.vn/ngon-ngu-lap-trinh-php-bi-phat-hien-them-2-lo-hong-bao-mat-185230810094005089.htm