CVE-2015-8866
KrytyczneStreszczenie
W PHP przed wersją 5.5.22 oraz 5.6.x przed wersją 5.6.6, przy użyciu PHP-FPM, nie izoluje się każdego wątku od zmian w libxml_disable_entity_loader w innych wątkach. To umożliwia zdalnym atakującym przeprowadzenie ataków typu XML External Entity (XXE) oraz XML Entity Expansion (XEE) za pomocą spreparowanego dokumentu XML.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do przeprowadzenia ataków, które mogą prowadzić do ujawnienia danych lub przeciążenia systemu. Organizacje powinny być świadome ryzyka związanego z przetwarzaniem niezaufanych dokumentów XML.
Rekomendacja
Zaleca się aktualizację PHP do wersji 5.5.22 lub 5.6.6 i nowszych, aby zniwelować tę podatność. Dodatkowo, warto rozważyć włączenie odpowiednich zabezpieczeń w konfiguracji PHP-FPM.
Oryginalny opis (angielski, źródło NVD)
ext/libxml/libxml.c in PHP before 5.5.22 and 5.6.x before 5.6.6, when PHP-FPM is used, does not isolate each thread from libxml_disable_entity_loader changes in other threads, which allows remote attackers to conduct XML External Entity (XXE) and XML Entity Expansion (XEE) attacks via a crafted XML document, a related issue to CVE-2015-5161.