Avalikustatud PHP koodibaasi turbeauditi tulemused

OSTIF (Open Source Technology Improvement Fund) fond loodud avatud projektide turvalisuse tugevdamiseks teatas, et on lõpetanud sõltumatu auditi PHP projekti põhikoodis. Töö teostas Prantsuse ettevõte QuarksLab, kes on varem auditeerinud projekte nagu OpenVPN, VeraCrypt ja OpenSSL. Kontrollimise käigus tuvastati 27 probleemi, millest 17 on seotud turvalisusega ja 10 on infoga seotud. Kahele probleemile määrati ohtlike haavatavuste staatus, kuus on keskmise ohu tasemega ja üheksa tunnistati mitteohtlikeks.

Tuvastatud haavatavuste seas:

• CVE-2024-8928 — haavatavus filtrite töötlejas, mis põhjustab mälu kahjustamist.
• CVE-2024-8929 — haavatavus MySQL draiveris, mis põhjustab mälu sisu leket, lugedes andmeid mälu piiridest väljaspool. Ühendamine ründaja kontrolli all oleva MySQL-iga võib viia teiste SQL-päringute sisu lekkimiseni. serverile MySQL võib viia teiste SQL-päringute sisu lekkimiseni.
• Probleem PHP-FPM-is, mis võimaldab teostada DoS-rünnakut, tekitades liigset koormust CPU-le.
• Kolm keskmise ohu tasemega probleemi OpenSSL-i mähise puhul, mis on seotud võtmete joondamise, algväärtuse kirjutamise ja DH parameetrite valideerimise puudumisega. Lisaks 4 mitteohtlikku probleemi OpenSSL-i mähises.
• Täisarvude ülevool php.ini tõlgendamisel.
• CVE-2024-9026 — haavatavus PHP-FPM-is, mis võimaldab märkide eemaldamist logis välja prinditud sõnumitest.
• CVE-2024-8925 — probleem multipart-vormide tõlgendamisel, mis viib andmete vale töötlemiseni.

Allikas: opennet.ru