Fond OSTIF (Open Source Technology Improvement Fund), který byl vytvořen za účelem posílení bezpečnosti open source projektů, oznámil dokončení nezávislého auditu hlavního kódu projektu PHP. Práci provedla francouzská společnost QuarksLab, která byla již dříve oslovena k auditu projektů OpenVPN, VeraCrypt a OpenSSL. Během kontroly bylo zjištěno 27 problémů, z nichž 17 se týká bezpečnosti a 10 má informativní charakter. Dvě problémy byly označeny jako nebezpečné zranitelnosti, šest má střední úroveň nebezpečnosti a devět bylo považováno za bezproblémové.
Mezi zjištěnými zranitelnostmi:
- CVE-2024-8928 — zranitelnost v zpracování filtrů, která vede k poškození paměti.
- CVE-2024-8929 — zranitelnost v ovladači MySQL, vedoucí k úniku obsahu paměti v důsledku čtení dat z oblasti mimo buffer. Připojení k napadenému MySQL může vést k úniku informací o obsahu dalších SQL dotazů. serveru Problém v PHP-FPM, který umožňuje provést útok DoS tím, že vytvoří nadměrnou zátěž na CPU.
- Tři problémy se středním nebezpečím v rozhraní nad OpenSSL, související s vyrovnáváním klíčů, přepisem inicializačního vektoru a absencí kontroly parametrů DH. Plus 4 bezproblémové problémy v rozhraní nad OpenSSL.
- Přetečení celého čísla při analýze php.ini.
- CVE-2024-9026 — zranitelnost v PHP-FPM, která umožňuje odstranění znaků z zpráv logovaných do souboru.
- CVE-2024-8925 — problém s analýzou multipart formulářů, což vede k nesprávnému zpracování údajů.
- Distribuce openSUSE zveřejnila alternativního instalátora Agama 13.
Zdroj: opennet.ru
