CVE-2016-5769
KrytyczneStreszczenie
W mcrypt.c w rozszerzeniu mcrypt w PHP przed wersją 5.5.37, 5.6.x przed 5.6.23 oraz 7.x przed 7.0.8 występują wielokrotne przepełnienia całkowite. Umożliwia to zdalnym atakującym spowodowanie odmowy usługi (przepełnienie bufora w stercie i awaria aplikacji) lub potencjalnie inny nieokreślony wpływ poprzez spreparowaną wartość długości, związaną z funkcjami mcrypt_generic i mdecrypt_generic.
Ocena ryzyka
Organizacja może doświadczyć awarii aplikacji oraz potencjalnych ataków, które mogą prowadzić do utraty dostępności usług. Przepełnienia bufora mogą również prowadzić do nieautoryzowanego dostępu do systemu.
Rekomendacja
Zaleca się aktualizację PHP do najnowszej wersji, aby usunąć tę podatność. Należy również monitorować aplikacje korzystające z mcrypt w celu wykrycia potencjalnych prób ataków.
Oryginalny opis (angielski, źródło NVD)
Multiple integer overflows in mcrypt.c in the mcrypt extension in PHP before 5.5.37, 5.6.x before 5.6.23, and 7.x before 7.0.8 allow remote attackers to cause a denial of service (heap-based buffer overflow and application crash) or possibly have unspecified other impact via a crafted length value, related to the (1) mcrypt_generic and (2) mdecrypt_generic functions.