CVE-2016-4073
KrytyczneStreszczenie
Wielokrotne przepełnienia całkowite w funkcji mbfl_strcut w PHP przed wersją 5.5.34, 5.6.x przed 5.6.20 oraz 7.x przed 7.0.5 mogą pozwolić zdalnym atakującym na spowodowanie awarii aplikacji lub potencjalne wykonanie dowolnego kodu poprzez odpowiednio skonstruowane wywołanie mb_strcut.
Ocena ryzyka
Podatność ta może prowadzić do awarii usług oraz umożliwić atakującym wykonanie nieautoryzowanego kodu, co stanowi poważne zagrożenie dla bezpieczeństwa aplikacji i danych organizacji.
Rekomendacja
Zaleca się aktualizację PHP do najnowszej wersji, aby usunąć tę podatność oraz przeprowadzenie audytu aplikacji w celu identyfikacji potencjalnych miejsc narażonych na atak.
Oryginalny opis (angielski, źródło NVD)
Multiple integer overflows in the mbfl_strcut function in ext/mbstring/libmbfl/mbfl/mbfilter.c in PHP before 5.5.34, 5.6.x before 5.6.20, and 7.x before 7.0.5 allow remote attackers to cause a denial of service (application crash) or possibly execute arbitrary code via a crafted mb_strcut call.