Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] PHP opravuje 3 kritické zranitelnosti
PHP verzemi 8.3.8, 8.2.20 a 8.1.29 opravuje 3 kritické zranitelnosti [1], které z operačních systémů zatím opravil pouze Slackware [2].
Neautentizovanému vzdálenému útočníkovi je v PHP CGI umožněno vykonávat libovolné příkazy v operačním systému (Windows) postiženého zařízení pomocí speciálně vytvořených URL [1]. Zranitelnost stroje lze ověřit pomocí skriptu, který lze nalézt na [3]. Zranitelnost je aktivně zneužívána [4].
Zranitelnost se nachází v produktu:
- php;>=8.1,<8.1.29;>=8.2,<8.2.20;>=8.3,<8.3.8
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-4577 na cve.org, NVD
- CWE-78 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 6. 6. 2024. Naposledy byl tento report aktualizován 15. 7. 2024.
Neautentizovanému vzdálenému útočníkovi je umožněno vykonávat libovolné příkazy ve Windows shellu postiženého zařízení [1].
Zranitelnost se nachází v produktech:
- php;>=8.1,<8.1.29;>=8.2,<8.2.20;>=8.3,<8.3.8
- debian:php;>=8.2,<8.2.20-1~deb12u1;>7.4,<7.4.33-1+deb11u5;>=8.2.21,<8.2.21-1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-5585 na cve.org, NVD
- CWE-78 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 6. 6. 2024.
Neautentizovanému vzdálenému útočníkovi je umožněno obejít PHP Filter, což může vést k různým útokům na webové stránky, jako například XSS nebo SQL injection [1].
Zranitelnost se nachází v produktu:
- php;>=8.1,<8.1.29;>=8.2,<8.2.20;>=8.3,<8.3.8
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Více informací:
- CVE-2024-5458 na cve.org, NVD
- CWE-385 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 6. 6. 2024.
Odkazy
Za CESNET, z.s.p.o. Martin Krajči dne 7. 6. 2024.