CVE-2015-8617
KrytyczneStreszczenie
W podatności CVE-2015-8617 występuje luka formatu w funkcji zend_throw_or_error w PHP 7.x przed wersją 7.0.1. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu poprzez specyfikatory formatu w ciągu, który jest niewłaściwie używany jako nazwa klasy, co prowadzi do błędnego obsługiwania błędów.
Ocena ryzyka
Luka ta może prowadzić do wykonania złośliwego kodu na serwerze, co stwarza poważne zagrożenie dla bezpieczeństwa aplikacji oraz danych użytkowników. Atakujący mogą wykorzystać tę podatność do przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację PHP do wersji 7.0.1 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt kodu w celu identyfikacji i naprawy potencjalnych miejsc, gdzie może wystąpić niewłaściwe użycie nazw klas.
Oryginalny opis (angielski, źródło NVD)
Format string vulnerability in the zend_throw_or_error function in Zend/zend_execute_API.c in PHP 7.x before 7.0.1 allows remote attackers to execute arbitrary code via format string specifiers in a string that is misused as a class name, leading to incorrect error handling.