CVE-2014-9912
KrytyczneStreszczenie
Funkcja get_icu_disp_value_src_php w PHP przed wersją 5.3.29, 5.4.x przed 5.4.30 oraz 5.5.x przed 5.5.14 nie ogranicza poprawnie wywołań do komponentu ICU uresbund.cpp, co może prowadzić do odmowy usługi (przepełnienie bufora) lub innych nieokreślonych skutków.
Ocena ryzyka
Atakujący zdalny może wykorzystać tę podatność do wywołania przepełnienia bufora, co może prowadzić do awarii systemu lub innych nieprzewidzianych skutków, zagrażając stabilności aplikacji.
Rekomendacja
Zaleca się aktualizację PHP do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych środków zabezpieczających, aby ograniczyć dostęp do funkcji związanych z lokalizacją.
Oryginalny opis (angielski, źródło NVD)
The get_icu_disp_value_src_php function in ext/intl/locale/locale_methods.c in PHP before 5.3.29, 5.4.x before 5.4.30, and 5.5.x before 5.5.14 does not properly restrict calls to the ICU uresbund.cpp component, which allows remote attackers to cause a denial of service (buffer overflow) or possibly have unspecified other impact via a locale_get_display_name call with a long first argument.