Podatności PHP

To CVE zostało odrzucone. Powód: Red Hat nie jest CNA dla PHP. CVE zostało zarezerwowane błędnie; odpowiedni CNA powinien przypisywać identyfikatory CVE dla tych podatności.

To CVE zostało odrzucone. Powód: Red Hat nie jest CNA dla PHP. CVE zostało zarezerwowane błędnie; odpowiedni CNA powinien przypisywać identyfikatory CVE dla tych podatności.

W PHP w wersjach 7.0.x przed 7.0.21 oraz 7.1.x przed 7.1.7 występuje podatność na wykorzystanie pamięci po zwolnieniu podczas deserializacji niezaufanych danych. Problem ten jest związany z funkcją zval_get_type w pliku Zend/zend_types.h.

W wersjach PHP przed 5.6.31, 7.x przed 7.0.21 oraz 7.1.x przed 7.1.7 występuje przepełnienie bufora na stosie w funkcji zend_ini_do_op(), co może prowadzić do odmowy usługi lub potencjalnego wykonania kodu. Problem ten dotyczy aplikacji PHP, które akceptują nieufne dane wejściowe dla funkcji parse_ini_string lub parse_ini_file.

W wersjach PHP przed 5.6.31, 7.x przed 7.0.17 oraz 7.1.x przed 7.1.3, zdalni atakujący mogli spowodować atak typu denial of service poprzez wstrzykiwanie długich zmiennych, co prowadziło do nadmiernego zużycia CPU.

Funkcja bzread w PHP przed wersją 5.5.38, 5.6.x przed 5.6.24 oraz 7.x przed 7.0.9 pozwala zdalnym atakującym na spowodowanie odmowy usługi (zapisy poza zakresem) lub wykonanie dowolnego kodu poprzez spreparowany archiwum bz2.

W funkcji _zval_get_long_func_ex w PHP 7.1.2 występuje podatność, która pozwala atakującym na spowodowanie odmowy usługi poprzez wykorzystanie błędnego użycia 'declare(ticks=' w skrypcie PHP, co prowadzi do dereferencji wskaźnika NULL i awarii aplikacji.

PHP w wersjach do 7.1.11 umożliwia potencjalny atak SSRF w aplikacjach, które akceptują argument hostname dla funkcji fsockopen lub pfsockopen, zakładając, że numer portu jest ograniczony. Dzięki rozpoznawaniu składni :port, fsockopen użyje numeru portu określonego w argumencie hostname, zamiast numeru portu w drugim argumencie funkcji.

Funkcja object_common1 w PHP przed wersją 5.6.30, 7.0.x przed 7.0.15 oraz 7.1.x przed 7.1.1 umożliwia zdalnym atakującym spowodowanie odmowy usługi (przepełnienie bufora i awaria aplikacji) poprzez spreparowane dane zserializowane, które są niewłaściwie obsługiwane w wywołaniu finish_nested_data.

Funkcja exif_convert_any_to_int w PHP przed wersją 5.6.30, 7.0.x przed 7.0.15 oraz 7.1.x przed 7.1.1 umożliwia zdalnym atakującym spowodowanie awarii aplikacji poprzez spreparowane dane EXIF, które wywołują próbę podziału minimalnej reprezentowalnej liczby całkowitej ujemnej przez -1.

W PHP przed wersją 5.6.28 oraz 7.x przed wersją 7.0.13 występuje podatność, która pozwala zdalnym atakującym na spowodowanie odmowy usługi (dereferencja wskaźnika NULL) poprzez spreparowane dane zserializowane w dokumencie XML wddxPacket.

W PHP 7.x przed wersją 7.0.10, przy włączonym open_basedir, występuje problem z obsługą dużych operacji realloc, co może prowadzić do przepełnienia całkowitego i w konsekwencji do odmowy usługi.

W PHP przed wersją 5.6.25 oraz 7.x przed wersją 7.0.10 występuje podatność, która pozwala zdalnym atakującym na wywołanie odmowy usługi poprzez nieprawidłowy dokument XML w formacie wddxPacket. Błąd ten prowadzi do dereferencji wskaźnika NULL i awarii aplikacji.

W PHP przed wersją 5.6.25 oraz 7.x przed wersją 7.0.10 występuje luka, która pomija nieprawidłowe nazwy sesji, co prowadzi do błędnego parsowania. Umożliwia to zdalnym atakującym wstrzykiwanie dowolnych danych sesyjnych poprzez kontrolowanie nazwy sesji.

Przepełnienie całkowite w funkcji fread w PHP przed wersją 5.5.36 oraz 5.6.x przed 5.6.22 umożliwia zdalnym atakującym spowodowanie odmowy usługi lub potencjalnie innego nieokreślonego wpływu poprzez dużą liczbę w drugim argumencie.

Przepełnienie całkowite w funkcji php_escape_html_entities_ex w PHP przed wersją 5.5.36 oraz 5.6.x przed 5.6.22 może umożliwić zdalnym atakującym spowodowanie odmowy usługi lub inny nieokreślony wpływ poprzez wywołanie dużego ciągu wyjściowego z wywołania FILTER_SANITIZE_FULL_SPECIAL_CHARS.

Przepełnienie całkowite w funkcji php_html_entities w PHP przed wersją 5.5.36 oraz 5.6.x przed 5.6.22 może umożliwić zdalnym atakującym spowodowanie odmowy usługi lub innego nieokreślonego wpływu poprzez wywołanie dużego ciągu wyjściowego z funkcji htmlspecialchars.

Przepełnienie całkowite w funkcji virtual_file_ex w PHP przed wersją 5.5.38, 5.6.x przed 5.6.24 oraz 7.x przed 7.0.9 umożliwia zdalnym atakującym spowodowanie odmowy usługi (przepełnienie bufora na stosie) lub potencjalnie inny nieokreślony wpływ poprzez spreparowaną operację ekstrakcji na archiwum ZIP.

PHP w wersjach do 7.0.8 nie obsługuje konfliktów przestrzeni nazw zgodnie z RFC 3875, co naraża aplikacje na niebezpieczeństwo związane z niezaufanymi danymi klienta w zmiennej środowiskowej HTTP_PROXY. Może to umożliwić zdalnym atakującym przekierowanie ruchu HTTP aplikacji do dowolnego serwera proxy za pomocą spreparowanego nagłówka Proxy.

Funkcja phar_make_dirstream w PHP przed wersją 5.6.18 oraz 7.x przed wersją 7.0.3 nieprawidłowo obsługuje pliki ././@LongLink o zerowej wielkości, co może prowadzić do odmowy usługi lub innych nieokreślonych skutków za pomocą spreparowanego archiwum TAR.

W PHP przed wersją 5.5.32, 5.6.x przed 5.6.18 oraz 7.x przed 7.0.3 występuje problem z obsługą danych o zerowej długości w niekompresowanych archiwach, co może prowadzić do awarii usługi (uszkodzenie pamięci na stercie) lub innych nieokreślonych skutków.

W funkcji phar_fix_filepath w pliku ext/phar/phar.c w PHP przed wersją 5.4.43, 5.5.x przed 5.5.27 oraz 5.6.x przed 5.6.11 występuje przepełnienie bufora na stosie. Atakujący zdalnie mogą spowodować odmowę usługi lub potencjalnie inne nieokreślone skutki, wykorzystując dużą wartość długości, co zostało zademonstrowane przez niewłaściwe przetwarzanie załącznika e-mail przez rozszerzenie imap PHP.

Metoda SoapClient::__call w PHP przed wersją 5.4.39, 5.5.x przed 5.5.23 oraz 5.6.x przed 5.6.7 nie weryfikuje, czy __default_headers jest tablicą, co umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez dostarczenie spreparowanych danych z nieoczekiwanym typem danych.

Wielokrotne przepełnienia bufora na stosie w funkcji phar_set_inode w pliku phar_internal.h w PHP przed wersją 5.4.40, 5.5.x przed 5.5.24 oraz 5.6.x przed 5.6.8 mogą umożliwić zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowaną wartość długości w archiwum (1) tar, (2) phar lub (3) ZIP.

Funkcja phar_parse_metadata w PHP przed wersją 5.4.40, 5.5.x przed 5.5.24 oraz 5.6.x przed 5.6.8 umożliwia zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie metadanych w stercie) lub potencjalnie inny nieokreślony wpływ poprzez spreparowany archiwum tar.

Podatność typu use-after-free w funkcji process_nested_data w PHP przed wersją 5.4.39, 5.5.x przed 5.5.23 oraz 5.6.x przed 5.6.7 pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez spreparowane wywołanie unserialize, które wykorzystuje funkcję unset w funkcji __wakeup.

W podatności typu use-after-free w funkcji phar_rename_archive w pliku phar_object.c w PHP przed wersją 5.5.22 oraz 5.6.x przed wersją 5.6.6, zdalni atakujący mogą spowodować odmowę usługi lub potencjalnie inne nieokreślone skutki, próbując zmienić nazwę archiwum Phar na nazwę istniejącego pliku.

Wielokrotne podatności typu use-after-free w pliku ext/date/php_date.c w PHP przed wersją 5.4.38, 5.5.x przed 5.5.22 oraz 5.6.x przed 5.6.6 pozwalają zdalnym atakującym na wykonanie dowolnego kodu poprzez spreparowane dane wejściowe w formacie serializowanym zawierające specyfikator typu (1) R lub (2) r.

W funkcji enchant_broker_request_dict w PHP przed wersją 5.4.38, 5.5.x przed 5.5.22 oraz 5.6.x przed 5.6.6 występuje przepełnienie bufora oparte na stercie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez wywołania, które powodują utworzenie wielu słowników.

Podatność typu use-after-free w funkcji process_nested_data w PHP przed wersją 5.4.37, 5.5.x przed 5.5.21 oraz 5.6.x przed 5.6.5 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane wywołanie unserialize, które wykorzystuje niewłaściwe zarządzanie duplikatami kluczy numerycznych w zserializowanych właściwościach obiektu.

Podatność typu use-after-free w funkcji process_nested_data w PHP przed wersją 5.4.36, 5.5.x przed 5.5.20 oraz 5.6.x przed 5.6.4 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane wywołanie unserialize, które wykorzystuje niewłaściwe zarządzanie duplikatami kluczy w zserializowanych właściwościach obiektu.

Podatność w PHP w wersjach 8.1.* przed 8.1.31, 8.2.* przed 8.2.26, 8.3.* przed 8.3.14. Wrogi serwer MySQL może spowodować, że klient ujawni zawartość swojej sterty, zawierającą dane z innych zapytań SQL oraz potencjalnie inne dane należące do różnych użytkowników tego samego serwera.

Niekompletna poprawka dla CVE-2022-31629 w PHP. Atakujący sieciowy lub z tej samej witryny może ustawić standardowe niebezpieczne ciasteczko w przeglądarce ofiary, które jest traktowane jako __Host- lub __Secure- przez aplikacje PHP.

W PHP w wersjach 8.1.x przed 8.1.31, 8.2.x przed 8.2.26, 8.3.x przed 8.3.14, podczas używania strumieni z skonfigurowanym proxy i opcją request_fulluri, URI nie jest odpowiednio sanityzowany, co może prowadzić do przemycania żądań HTTP i umożliwić atakującemu wykonanie dowolnych żądań HTTP przez proxy.

Podatność w PHP w wersjach 8.1.* przed 8.1.28, 8.2.* przed 8.2.18, 8.3.* przed 8.3.5. Jeśli hasło przechowywane za pomocą password_hash() zaczyna się od bajtu zerowego (\x00), testowanie pustego ciągu jako hasła przez password_verify() błędnie zwraca true.

W PHP w wersjach 8.3.x przed 8.3.19 i 8.4.x przed 8.4.5, sekwencja kodu obejmująca handler __set lub operator ??= oraz wyjątki może prowadzić do podatności use-after-free.

Błąd logiki w PHP w wersjach 8.1.* przed 8.1.29, 8.2.* przed 8.2.20, 8.3.* przed 8.3.8. Funkcje filtrujące, takie jak filter_var przy walidacji URL (FILTER_VALIDATE_URL), dla niektórych typów URL zwracają nieprawidłowe informacje o użytkowniku (część username+password URL).

Błąd w parsowaniu danych multipart/form-data w PHP w wersjach 8.1.* przed 8.1.30, 8.2.* przed 8.2.24, 8.3.* przed 8.3.12. Błędne parsowanie może prowadzić do tego, że prawowite dane nie zostaną przetworzone, a atakujący może kontrolować część przesyłanych danych.

W PHP w wersjach 8.1.x przed 8.1.31, 8.2.x przed 8.2.26, 8.3.x przed 8.3.14, niekontrolowane długie ciągi wejściowe do funkcji ldap_escape() na systemach 32-bitowych mogą powodować przepełnienie liczb całkowitych, prowadząc do zapisu poza zakresem.

W PHP wykryto podatność, w której ustawienie zmiennej środowiskowej PHP_CLI_SERVER_WORKERS na dużą wartość prowadzi do przepełnienia bufora sterty.

W PHP od wersji 8.1.* przed 8.1.32, 8.2.* przed 8.2.28, 8.3.* przed 8.3.19, 8.4.* przed 8.4.5, podczas parsowania przekierowania HTTP w odpowiedzi na żądanie HTTP, istnieje ograniczenie rozmiaru wartości lokalizacji do 1024 bajtów, co może być niewystarczające zgodnie z RFC.

W PHP w wersjach 8.1.* przed 8.1.31, 8.2.* przed 8.2.26, 8.3.* przed 8.3.14, niekontrolowane długie ciągi wejściowe do funkcji ldap_escape() na systemach 32-bitowych mogą spowodować przepełnienie liczby całkowitej, prowadzące do zapisu poza dozwolonym obszarem pamięci.

W PHP w wersjach 8.1.* przed 8.1.30, 8.2.* przed 8.2.24, 8.3.* przed 8.3.12, przy użyciu SAPI PHP-FPM z włączoną opcją catch_workers_output = yes, możliwe jest zanieczyszczenie końcowego logu lub usunięcie do 4 znaków z komunikatów logu poprzez manipulację komunikatem logu.

W PHP w wersjach 8.1.x przed 8.1.31, 8.2.x przed 8.2.26, 8.3.x przed 8.3.14 filtr convert.quoted-printable-decode może powodować odczyt poza zakresem o jeden bajt, co może prowadzić do awarii lub ujawnienia zawartości innych obszarów pamięci.

W PHP od wersji 8.1.* przed 8.1.32, 8.2.* przed 8.2.28, 8.3.* przed 8.3.19, 8.4.* przed 8.4.5, moduł żądań HTTP nieprawidłowo parsuje złożone nagłówki (folded headers) w odpowiedzi HTTP, co może prowadzić do błędnej interpretacji odpowiedzi i użycia nieprawidłowych nagłówków MIME.

W PHP od wersji 8.1.* przed 8.1.32, 8.2.* przed 8.2.28, 8.3.* przed 8.3.19, 8.4.* przed 8.4.5, przy żądaniu zasobu HTTP za pomocą rozszerzeń DOM lub SimpleXML, używany jest nieprawidłowy nagłówek content-type do określenia zestawu znaków, gdy żądany zasób wykonuje przekierowanie.

Podatność w PHP w wersjach 8.1.* przed 8.1.30, 8.2.* przed 8.2.24, 8.3.* przed 8.3.12. Zmienna HTTP_REDIRECT_STATUS używana do sprawdzenia, czy CGI jest uruchomione przez serwer HTTP, może być kontrolowana przez żądającego za pomocą nagłówka HTTP.

W PHP od wersji 8.1.* przed 8.1.32, 8.2.* przed 8.2.28, 8.3.* przed 8.3.19, 8.4.* przed 8.4.5, podczas odbierania nagłówków od serwera HTTP, nagłówki bez dwukropka (:) są traktowane jako prawidłowe, mimo że nimi nie są. Może to wprowadzić aplikacje w błąd, akceptując nieprawidłowe nagłówki.

W PHP od wersji 8.1.* przed 8.1.32, 8.2.* przed 8.2.28, 8.3.* przed 8.3.19, 8.4.* przed 8.4.5, podczas wysyłania nagłówków dostarczonych przez użytkownika, niewystarczająca walidacja znaków końca linii może uniemożliwić wysłanie niektórych nagłówków lub doprowadzić do ich błędnej interpretacji.

Funkcja bccomp() w PHP (wersje 8.4.x przed 8.4.24 i 8.5.x przed 8.5.9) nieprawidłowo przetwarza dane wejściowe dostarczone przez atakującego, co może prowadzić do zapisu poza zakresem pamięci oraz uszkodzenia stosu i sterty.