OSTIF (Open Source Technology Improvement Fund), etableret med det formål at styrke sikkerheden i åbne projekter, har annonceret afslutningen på en uafhængig revision af hovedkodebasen i PHP-projektet. Arbejdet blev udført af det franske firma QuarksLab, som tidligere har været involveret i revisioner af projekter som OpenVPN, VeraCrypt og OpenSSL. Under gennemgangen blev der identificeret 27 problemer, hvoraf 17 vedrørte sikkerhed, mens 10 var af informativ karakter. To problemer blev klassificeret som farlige sårbarheder, seks havde et moderat fareniveau, og ni blev anset for ikke-farlige.
Blandt de identificerede sårbarheder:
- CVE-2024-8928 — en sårbarhed i filterbehandleren, der fører til hukommelsesskader.
- CVE-2024-8929 — en sårbarhed i MySQL-driveren, der fører til lækage af hukommelsesindhold på grund af læsning af data fra uden for bufferområdet. En forbindelse til en angribers server server MySQL kan føre til lækage af oplysninger om indholdet af andre SQL-forespørgsler.
- Et problem i PHP-FPM, der muliggør en DoS-angreb ved at skabe en overdreven belastning på CPU'en.
- Tre problemer med moderat fare i OpenSSL-biblioteket, relateret til nøglejustering, overskrivning af initialiseringsvektor og mangel på kontrol af DH-parametre. Desuden 4 ikke-farlige problemer i OpenSSL-biblioteket.
- Heltalsoverflow ved parsing af php.ini.
- CVE-2024-9026 — en sårbarhed i PHP-FPM, der muliggør fjernelse af tegn fra beskeder, der skrives til loggen.
- CVE-2024-8925 — et problem med parsing af multipart-former, der fører til forkert behandling af data.
Kilde: opennet.ru
