Fond OSTIF (Open Source Technology Improvement Fund), vytvorený s cieľom posilniť ochranu otvorených projektov, oznámil ukončenie nezávislého auditu hlavnej kódovej základne projektu PHP. Prácu vykonala francúzska spoločnosť QuarksLab, ktorá bola už zapojená do auditu projektov OpenVPN, VeraCrypt a OpenSSL. Počas kontroly bolo zistených 27 problémov, z ktorých 17 súvisí s bezpečnosťou a 10 má informačný charakter. Dve problémy sú klasifikované ako nebezpečné zraniteľnosti, šesť má strednú úroveň nebezpečenstva a deväť je považovaných za bezproblemové.
Medzi zistenými zraniteľnosťami:
- CVE-2024-8928 — zraniteľnosť v spracovaní filtrov, ktorá vedie k poškodeniu pamäte.
- CVE-2024-8929 — zraniteľnosť v ovládači MySQL, ktorá vedie k úniku obsahu pamäte čítaním dát z oblasti mimo vyrovnávacej pamäte. Pripojenie k napadnutej MySQL môže viesť k úniku informácií o obsahu iných SQL dopytov. serveru Problém v PHP-FPM, ktorý umožňuje vykonať DoS útok vytváraním nadmernej záťaže na CPU.
- Tri problémy so stredným nebezpečenstvom v obale nad OpenSSL, súvisiace s vyrovnávaním kľúčov, prepísaním vektora inicializácie a absenciou kontroly parametrov DH. Plus 4 bezproblemové problémy v obale nad OpenSSL.
- Celé číslo pretečenie pri analýze php.ini.
- CVE-2024-9026 — zraniteľnosť v PHP-FPM, ktorá umožňuje odstrániť znaky z správ, ktoré sú zapisované do logu.
- CVE-2024-8925 — problém s analýzou multipart formulárov, ktorý vedie k nesprávnemu spracovaniu údajov.
- Distribúcia openSUSE zverejnila alternatívny inštalátor Agama 13
Zdroj: opennet.ru
