Az OSTIF (Open Source Technology Improvement Fund), amelynek célja a nyílt projektek biztonságának megerősítése, bejelentette a PHP projekt alap kódalapjának független auditálásának befejezését. A munkát a francia QuarksLab végezte, amelyet korábban az OpenVPN, VeraCrypt és OpenSSL projektek auditálására is bevontak. Az ellenőrzés során 27 problémát azonosítottak, amelyekből 17 biztonsági, míg 10 információs jellegű. Két problémát veszélyes sebezhetőségeknek, hatot közepes szintű veszélyességűnek, kilencet pedig nem veszélyesnek minősítettek.
Az azonosított sebezhetőségek közül:
- CVE-2024-8928 — sebezhetőség a szűrőkezelőben, amely memóriahibát okoz.
- CVE-2024-8929 — sebezhetőség a MySQL illesztőprogramban, amely memória tartalom szivárgásához vezet a pufferen kívüli adatolvasás miatt. A támadó által irányított MySQL csatlakoztatása egy másik SQL lekérdezés tartalmának nyilvánosságra hozatalához vezethet. szerverhez PHP-FPM problémája, amely lehetővé teszi a DoS támadást a CPU túlzott terhelésével.
- Három közepes veszélyességű probléma az OpenSSL köré épített rétegben, amelyek a kulcsok igazításával, a vektor újraírásával és a DH paraméterek ellenőrzésének hiányával kapcsolatosak. Ezen kívül 4 nem veszélyes probléma található az OpenSSL rétegben.
- Egész számok túlcsordulása a php.ini elemzésekor.
- CVE-2024-9026 — sebezhetőség a PHP-FPM-ben, amely lehetővé teszi karakterek eltávolítását a naplóba írt üzenetekből.
- CVE-2024-8925 — probléma a multipart formák elemzésével, amely helytelen adatkezeléshez vezet.
- Az openSUSE disztribúció kiadta az Agama 13 alternatív telepítőt.
Forrás: opennet.ru
