PHP koodibaasi turvaauditi tulemused on avaldatud

OSTIF (Open Source Technology Improvement Fund) fond, mis loodud avatud projektide turvalisuse tugevdamiseks, kuulutas välja PHP projekti põhikoodibaasi iseseisva auditi lõpetamise. Töö tegi Prantsuse ettevõte QuarksLab, mis on juba olnud kaasatud OpenVPN, VeraCrypt ja OpenSSL projektide audititesse. Kontrolli käigus tuvastati 27 probleemi, millest 17 on seotud turvalisusega ja 10 informatiivse iseloomuga. Kahele probleemile anti ohtlike haavatavuste staatus, kuus on keskmise ohu tasemega ja üheksa tunnistati mitteohtlikeks.

Tuvastatud haavatavuste hulgas on:

• CVE-2024-8928 — haavatavus filtrite töötleja puhul, mis põhjustab mälu riknemist.
• CVE-2024-8929 — haavatavus MySQL draiveris, mis toob kaasa mälu sisu lekkimise, lugedes andmeid mälubuffri piirest välja. Ühendus ründaja kontrolli all oleva serveri MySQL-iga võib tuua kaasa teisi SQL-päringute andmeid.
• Probleem PHP-FPM-is, mis võimaldab ülesehitada DoS-rünnaku, tekitades CPU-le liialt suurt koormust.
• Kolm keskmise ohu probleemi OpenSSL-i mähises, mis on seotud võtmete joondamise, algväärtuse üle kirjutamise ja DH parameetrite kontrolli puudumisega. Lisaks on 4 mitteohtlikku probleemi OpenSSL-i mähises.
• Täisarvu ületäitumine php.ini töötlemisel.
• CVE-2024-9026 — haavatavus PHP-FPM-is, mis võimaldab eemaldada sümboleid logides välja printitud sõnumitest.
• CVE-2024-8925 — probleem multipart-formaatide töötlemisel, mis viib andmete vale töötlemiseni.

Allikas: opennet.ru