CVE-2016-9138
KrytyczneStreszczenie
PHP w wersjach do 5.6.27 oraz 7.x do 7.0.12 niewłaściwie obsługuje modyfikację właściwości podczas przetwarzania __wakeup, co pozwala zdalnym atakującym na spowodowanie odmowy usługi lub potencjalnie innych nieokreślonych skutków za pomocą spreparowanych danych zserializowanych.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do zakłócenia działania aplikacji PHP, co może prowadzić do przestojów w usługach oraz potencjalnych strat finansowych dla organizacji.
Rekomendacja
Zaleca się aktualizację PHP do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie aplikacji pod kątem podejrzanych działań związanych z przetwarzaniem danych zserializowanych.
Oryginalny opis (angielski, źródło NVD)
PHP through 5.6.27 and 7.x through 7.0.12 mishandles property modification during __wakeup processing, which allows remote attackers to cause a denial of service or possibly have unspecified other impact via crafted serialized data, as demonstrated by Exception::__toString with DateInterval::__wakeup.