Опубликованы результаты аудита безопасности кодовой базы PHP

Фонд OSTIF (Open Source Technology Improvement Fund), созданный с целью усиления защищённости открытых проектов, объявил о завершении независимого аудита основной кодовой базы проекта PHP. Работа выполнена французской компанией QuarksLab, которая уже привлекалась для аудита проектов OpenVPN, VeraCrypt и OpenSSL. В ходе проверки выявлено 27 проблем, из которых 17 имеют отношение к безопасности, а 10 носят информационный характер. Двум проблемам присвоен статус опасных уязвимостей, шесть имеют средний уровень опасности, а девять признаны неопасными.

Среди выявленных уязвимостей:

• CVE-2024-8928 — уязвимость в обработчике фильтров, приводящая к повреждению памяти.
• CVE-2024-8929 — уязвимость в драйвере MySQL, приводящая к утечке содержимого памяти из-за чтения данных из области за границей буфера. Подключение к подконтрольному атакующему серверу MySQL может привести к утечке сведений о содержимом других SQL-запросов.
• Проблема в PHP-FPM, позволяющая совершить DoS-атаку через создание излишней нагрузки на CPU.
• Три проблемы средней опасности в обвязке над OpenSSL, связанные с выравниванием ключей, перезаписью вектора инициализации и отсутствием проверки параметров DH. Плюс 4 неопасных проблемы в обвязке над OpenSSL.
• Целочисленное переполнение при разборе php.ini.
• CVE-2024-9026 — уязвимость в PHP-FPM, позволяющая удалить символы из сообщений, выводимых в лог.
• CVE-2024-8925 — проблема с разбором multipart-форм, приводящая к некорректной обработке данных.

Источник: opennet.ru