[TLP:CLEAR] PHP opravuje 6 zraniteľností
PHP verziami 8.1.32, 8.2.28, 8.3.19 a 8.4.5 opravuje 6 zraniteľností [1]. Zraniteľnosti opravil Debian [2][3] a Gentoo má dostupnú verziu 8.2.28 pre niektoré architektúry [4]. Jednotlivé vydania Debianu a ich opravené PHP verzie: bullseye (security) - 7.4.33-1+deb11u8 [2] bookworm (security) - 8.2.28-1~deb12u1 [3]
Neautentizovanému vzdialenému útočníkovi je potenciálne umožnené obísť kontrolu validity dokumentu, zaslaním špeciálne vytvorenej požiadavky s presmerovaním, vytvorenej rozšírením DOM alebo SimpleXML. K zraniteľnosti bolo zverejnené PoC, ktoré je dostupné na [5].
Zraniteľnosť sa nachádza v produkte:
- PHP; <8.1.32; >=8.2, <8.2.28; >=8.3, <8.3.19; >=8.4, <8.4.5;
CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Viac informácií:
- CVE-2025-1219 na cve.org, NVD
- CWE-20: Improper Input Validation na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 14. 3. 2025.
Neautentizovanému vzdialenému útočníkovi je za určitých okolností umožnené využívať časti pamäte po jej uvoľnení, čo môže spôsobiť prepísanie validných dát, DoS útok a potenciálne vykonávanie kódu. K zraniteľnosti bolo zverejnené PoC, ktoré je možné nájsť na [6].
Zraniteľnosť sa nachádza v produkte:
- PHP >=8.3, <8.3.19; >=8.4, <8.4.5;
CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Amber
Viac informácií:
- CVE-2024-11235 na cve.org, NVD
- CWE-416: Use After Free na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 14. 3. 2025.
Neautentizovanému vzdialenému útočníkovi je zaslaním špeciálne vytvorenej požiadavky potenciálne umožnené spôsobiť nedefinované chovanie na strane servera [7].
Zraniteľnosť sa nachádza v produkte:
- PHP; <8.1.32; >=8.2, <8.2.28; >=8.3, <8.3.19; >=8.4, <8.4.5;
CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Viac informácií:
- CVE-2025-1736 na cve.org, NVD
- CWE-93: Improper Neutralization of CRLF Sequences ('CRLF Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 14. 3. 2025.
Neautentizovanému vzdialenému útočníkovi je pomocou sociálneho inžinierstva potenciálne umožnené presmerovať obeť útoku na neočakávanú časť web stránky [8].
Zraniteľnosť sa nachádza v produkte:
- PHP; <8.1.32; >=8.2, <8.2.28; >=8.3, <8.3.19; >=8.4, <8.4.5;
CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Viac informácií:
- CVE-2025-1861 na cve.org, NVD
- CWE-682: Incorrect Calculation na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 14. 3. 2025.
Neautentizovanému vzdialenému útočníkovi je umožnené potenciálne obísť bezpečnostné politiky zaslaním špeciálne vytvorenej odpovede od web servera ovládaného útočníkom [9].
Zraniteľnosť sa nachádza v produkte:
- PHP; <8.1.32; >=8.2, <8.2.28; >=8.3, <8.3.19; >=8.4, <8.4.5;
CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Viac informácií:
- CVE-2025-1734 na cve.org, NVD
- CWE-444: Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 14. 3. 2025.
Neautentizovanému vzdialenému útočníkovi je potenciálne umožnené vydávať odpoveď zaslanú web serverom, ktorý ovláda, za iný MIME typ. K zraniteľnosti bolo zverejnené PoC, ktoré je dostupné na [10].
Zraniteľnosť sa nachádza v produkte:
- PHP; <8.1.32; >=8.2, <8.2.28; >=8.3, <8.3.19; >=8.4, <8.4.5;
CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:Y/R:A/V:X/RE:X/U:X
Viac informácií:
- CVE-2025-1217 na cve.org, NVD
- CWE-444: Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 14. 3. 2025.
Odkazy
- [1] https://www.openwall.com/lists/oss-security/2025/03/14/6
- [2] https://security-tracker.debian.org/tracker/DLA-4088-1
- [3] https://security-tracker.debian.org/tracker/DSA-5878-1
- [4] https://packages.gentoo.org/packages/dev-lang/php
- [5] https://github.com/php/php-src/security/advisories/GHSA-p3x9-6h7p-cgfc
- [6] https://github.com/php/php-src/security/advisories/GHSA-rwp7-7vc6-8477
- [7] https://github.com/php/php-src/security/advisories/GHSA-hgf5-96fm-v528
- [8] https://github.com/php/php-src/security/advisories/GHSA-52jp-hrpf-2jff
- [9] https://github.com/php/php-src/security/advisories/GHSA-pcmh-g36c-qc44
- [10] https://github.com/php/php-src/security/advisories/GHSA-v8xr-gpvj-cx9g
Za CESNET, z.s.p.o. Martin Krajči dňa 21. 3. 2025.