Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] PHP opravuje 6 zranitelností

PHP verzemi 8.1.32, 8.2.28, 8.3.19 a 8.4.5 opravuje 6 zranitelností [1]. Zranitelnosti opravil Debian [2][3] a Gentoo má dostupnou verzi 8.2.28 pro některé architektury [4]. Jednotlivá vydání Debianu a jejich opravené verze PHP: bullseye (security) - 7.4.33-1+deb11u8 [2] bookworm (security) - 8.2.28-1~deb12u1 [3]

PHP - document validation bypass (CVE-2025-1219)
CVSS 6.3 (Medium)

Neautentizovanému vzdálenému útočníkovi je potenciálně umožněno obejít kontrolu validity dokumentu zasláním speciálně vytvořeného požadavku s přesměrováním, vytvořeného rozšířením DOM nebo SimpleXML. K zranitelnosti bylo zveřejněno PoC, které je dostupné na [5].

Zranitelnost se nachází v produktu:

  • PHP; <8.1.32; >=8.2, <8.2.28; >=8.3, <8.3.19; >=8.4, <8.4.5;

CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Více informací:

Zranitelnost byla veřejně oznámena 14. 3. 2025.

PHP - use-after-free (CVE-2024-11235)
CVSS 9.2 (Critical)

Neautentizovanému vzdálenému útočníkovi je za určitých okolností umožněno využívat části paměti po jejím uvolnění, což může způsobit přepsání validních dat, DoS útok a potenciálně vykonávání kódu. K zranitelnosti bylo zveřejněno PoC, které lze nalézt na [6].

Zranitelnost se nachází v produktu:

  • PHP >=8.3, <8.3.19; >=8.4, <8.4.5;

CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Amber

Více informací:

Zranitelnost byla veřejně oznámena 14. 3. 2025.

PHP - improper newline neutralization (CVE-2025-1736)
CVSS 6.3 (Medium)

Neautentizovanému vzdálenému útočníkovi je zasláním speciálně vytvořeného požadavku potenciálně umožněno způsobit nedefinované chování na straně serveru [7].

Zranitelnost se nachází v produktu:

  • PHP; <8.1.32; >=8.2, <8.2.28; >=8.3, <8.3.19; >=8.4, <8.4.5;

CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Více informací:

Zranitelnost byla veřejně oznámena 14. 3. 2025.

PHP - web redirection (CVE-2025-1861)
CVSS 6.3 (Medium)

Neautentizovanému vzdálenému útočníkovi je pomocí sociálního inženýrství potenciálně umožněno přesměrovat oběť útoku na neočekávanou část webové stránky [8].

Zranitelnost se nachází v produktu:

  • PHP; <8.1.32; >=8.2, <8.2.28; >=8.3, <8.3.19; >=8.4, <8.4.5;

CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Více informací:

Zranitelnost byla veřejně oznámena 14. 3. 2025.

PHP - response smuggling (CVE-2025-1734)
CVSS 6.3 (Medium)

Neautentizovanému vzdálenému útočníkovi je umožněno potenciálně obejít bezpečnostní politiky zasláním speciálně vytvořené odpovědi od webového serveru ovládaného útočníkem [9].

Zranitelnost se nachází v produktu:

  • PHP; <8.1.32; >=8.2, <8.2.28; >=8.3, <8.3.19; >=8.4, <8.4.5;

CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Více informací:

  • CVE-2025-1734 na cve.org, NVD
  • CWE-444: Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 14. 3. 2025.

PHP - response smuggling (CVE-2025-1217)
CVSS 6.3 (Medium)

Neautentizovanému vzdálenému útočníkovi je potenciálně umožněno vydávat odpověď zaslanou webovým serverem, který ovládá, za jiný MIME typ. K zranitelnosti bylo zveřejněno PoC, které je dostupné na [10].

Zranitelnost se nachází v produktu:

  • PHP; <8.1.32; >=8.2, <8.2.28; >=8.3, <8.3.19; >=8.4, <8.4.5;

CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:Y/R:A/V:X/RE:X/U:X

Více informací:

  • CVE-2025-1217 na cve.org, NVD
  • CWE-444: Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 14. 3. 2025.

Za CESNET, z.s.p.o. Martin Krajči dne 21. 3. 2025.

CESNET, z.s.p.o. Logo