CVE-2008-2108
KrytyczneStreszczenie
Makro GENERATE_SEED w PHP 4.x przed wersją 4.4.8 oraz 5.x przed wersją 5.2.5, działające na systemach 64-bitowych, wykonuje mnożenie, które generuje część zerowych bitów podczas konwersji z powodu niewystarczającej precyzji. To prowadzi do uzyskania 24 bitów entropii, co ułatwia ataki brute force na mechanizmy ochrony wykorzystujące funkcje rand i mt_rand.
Ocena ryzyka
Organizacje mogą być narażone na ataki brute force, które mogą obejść mechanizmy ochrony, co prowadzi do potencjalnego ujawnienia danych lub nieautoryzowanego dostępu do systemów.
Rekomendacja
Zaleca się aktualizację PHP do wersji 4.4.8 lub 5.2.5 oraz monitorowanie użycia funkcji rand i mt_rand w celu zwiększenia bezpieczeństwa aplikacji.
Oryginalny opis (angielski, źródło NVD)
The GENERATE_SEED macro in PHP 4.x before 4.4.8 and 5.x before 5.2.5, when running on 64-bit systems, performs a multiplication that generates a portion of zero bits during conversion due to insufficient precision, which produces 24 bits of entropy and simplifies brute force attacks against protection mechanisms that use the rand and mt_rand functions.