CVE-2015-8876
KrytyczneStreszczenie
W PHP przed wersją 5.4.44, 5.5.x przed 5.5.28 oraz 5.6.x przed 5.6.12 nie walidowane są niektóre obiekty Exception, co pozwala zdalnym atakującym na spowodowanie odmowy usługi (dereferencja wskaźnika NULL i awaria aplikacji) lub wywołanie niezamierzonych metod za pomocą spreparowanych danych zserializowanych.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do zdalnego wywołania awarii aplikacji, co może prowadzić do przerwy w dostępności usług oraz potencjalnych strat finansowych.
Rekomendacja
Zaleca się aktualizację PHP do najnowszej wersji, aby usunąć tę podatność oraz zapewnić odpowiednią walidację obiektów Exception.
Oryginalny opis (angielski, źródło NVD)
Zend/zend_exceptions.c in PHP before 5.4.44, 5.5.x before 5.5.28, and 5.6.x before 5.6.12 does not validate certain Exception objects, which allows remote attackers to cause a denial of service (NULL pointer dereference and application crash) or trigger unintended method execution via crafted serialized data.