CVE-2016-7124
KrytyczneStreszczenie
W PHP przed wersją 5.6.25 oraz 7.x przed wersją 7.0.10 występuje problem z niewłaściwym przetwarzaniem nieprawidłowych obiektów, co może prowadzić do odmowy usługi lub innych nieokreślonych skutków. Atakujący mogą wykorzystać spreparowane dane zserializowane, co prowadzi do wywołania metody __destruct lub metody magicznej.
Ocena ryzyka
Organizacje mogą być narażone na ataki typu denial of service, co może prowadzić do przestojów w działaniu aplikacji. Dodatkowo, istnieje ryzyko nieokreślonych skutków, które mogą wpłynąć na integralność systemu.
Rekomendacja
Zaleca się aktualizację PHP do wersji 5.6.25 lub 7.0.10 oraz monitorowanie aplikacji pod kątem podejrzanych danych zserializowanych. Warto również wdrożyć dodatkowe mechanizmy zabezpieczające przed atakami typu DoS.
Oryginalny opis (angielski, źródło NVD)
ext/standard/var_unserializer.c in PHP before 5.6.25 and 7.x before 7.0.10 mishandles certain invalid objects, which allows remote attackers to cause a denial of service or possibly have unspecified other impact via crafted serialized data that leads to a (1) __destruct call or (2) magic method call.