OSTIF (Fond za poboljšanje tehnologije otvorenog koda) je objavio završetak neovisne revizije glavnog koda PHP projekta s ciljem jačanja sigurnosti otvorenih projekata. Rad je obavila francuska kompanija QuarksLab, koja je prethodno bila angažirana za reviziju projekata OpenVPN, VeraCrypt i OpenSSL. Tijekom provjere otkriveno je 27 problema, od kojih se 17 odnosi na sigurnost, dok su 10 informacijskog karaktera. Dvije problema su označena kao opasne ranjivosti, šest ima srednji nivo opasnosti, a devet je smatraju neopasnima.
Među otkrivenim ranjivostima:
- CVE-2024-8928 — ranjivost u obradi filtara koja dovodi do oštećenja memorije.
- CVE-2024-8929 — ranjivost u MySQL drajveru koja izaziva curenje sadržaja memorije zbog čitanja podataka izvan granica bafera. Povezivanje s napadačem poslužitelju MySQL može dovesti do curenja informacija o sadržaju drugih SQL upita.
- Problem u PHP-FPM koji dopušta DoS napad stvaranjem prekomjernog opterećenja CPU-a.
- Tri problema srednje opasnosti u obavijesti nad OpenSSL koja se odnose na poravnanje ključeva, prepisivanje vektora inicijalizacije i nedostatak provjere DH parametara. Plus 4 neopasna problema u obavijesti nad OpenSSL.
- Cjelobrojno prelivanje prilikom parsiranja php.ini.
- CVE-2024-9026 — ranjivost u PHP-FPM koja omogućuje uklanjanje znakova iz poruka koje se ispisuju u log.
- CVE-2024-8925 — problem s parsiranjem multipart formi koja dovodi do nepravilne obrade podataka.
Izvor: opennet.ru
