Podatności Phalcon

Phalcon to wysokowydajny, pełnostackowy framework PHP. W wersji 5.15.0 i wcześniejszych, resolveFilter w phalcon/Mvc/View/Engine/Volt/Compiler.zep buduje filtr join, wstawiając surowe wartości separatora i tokenu tablicy do wygenerowanego PHP bez przepuszczania ich przez expression(). Atakujący, który może wpływać na źródło szablonu Volt, może umieścić łamiące cudzysłowy treści w argumencie join, wstrzyknąć PHP do skompilowanego pliku pamięci podręcznej i wykonać go, gdy Phalcon\Mvc\View\Engine\Volt::render() ładuje szablon. Problem naprawiono w wersji 5.16.0.

Podatność w frameworku Phalcon przed wersją 5.15.0 powoduje, że domyślny router MVC używa skompilowanego wzorca PCRE z zagnieżdżonym kwantyfikatorem, co umożliwia atakującemu wywołanie katastroficznego cofania (catastrophic backtracking) poprzez spreparowane żądanie URI zawierające powtarzające się ukośniki i znaki nowej linii. Prowadzi to do wyczerpania zasobów CPU lub niepowodzenia dopasowania trasy.

Podatność w frameworku Phalcon przed wersją 5.14.1 polega na tym, że funkcja Phalcon\Encryption\Crypt::decrypt porównuje dostarczony przez atakującego znacznik HMAC z nowo wyliczonym HMAC za pomocą porównania bajt po bajcie, które kończy się na pierwszej różnicy. Ta obserwowalna różnica czasowa umożliwia atakującemu odzyskanie prawidłowego znacznika bajt po bajcie i dołączenie go do wybranego IV i ciphertextu, przez co decrypt() akceptuje zmodyfikowaną treść jako autentyczną.