Η γλώσσα προγραμματισμού PHP ανακάλυψε 2 ακόμη ευπάθειες ασφαλείας

Σύμφωνα με το Security Online , ανακαλύφθηκαν δύο νέα τρωτά σημεία στην PHP στα οποία αντιστοιχίστηκαν τα αναγνωριστικά CVE-2023-3823 και CVE-2023-3824. Το σφάλμα CVE-2023-3823 έχει βαθμολογία CVSS 8,6 και είναι ένα τρωτό σημείο αποκάλυψης πληροφοριών, που επιτρέπει σε απομακρυσμένους εισβολείς να αποκτήσουν ευαίσθητες πληροφορίες από την εφαρμογή PHP.

Αυτή η ευπάθεια οφείλεται σε ανεπαρκή επικύρωση της εισόδου XML που παρέχεται από τον χρήστη. Ένας εισβολέας θα μπορούσε να την εκμεταλλευτεί στέλνοντας ένα ειδικά κατασκευασμένο αρχείο XML στην εφαρμογή. Ο κώδικας θα αναλυόταν από την εφαρμογή και ο εισβολέας θα μπορούσε να αποκτήσει πρόσβαση σε ευαίσθητες πληροφορίες, όπως το περιεχόμενο αρχείων στο σύστημα ή τα αποτελέσματα εξωτερικών αιτημάτων.

Ο κίνδυνος είναι ότι οποιαδήποτε εφαρμογή, βιβλιοθήκη και διακομιστής που αναλύει ή αλληλεπιδρά με έγγραφα XML είναι ευάλωτη σε αυτήν την ευπάθεια.

Ως δημοφιλής γλώσσα προγραμματισμού σήμερα, η PHP παρουσιάζει σοβαρά ελαττώματα ασφαλείας.

Εν τω μεταξύ, το CVE-2023-3824 είναι ένα θέμα ευπάθειας υπερχείλισης buffer με βαθμολογία CVSS 9,4, που επιτρέπει σε απομακρυσμένους εισβολείς να εκτελούν αυθαίρετο κώδικα σε συστήματα που εκτελούν PHP. Το θέμα ευπάθειας οφείλεται σε μια συνάρτηση στην PHP που κάνει έλεγχο ακατάλληλων ορίων. Ένας εισβολέας μπορεί να το εκμεταλλευτεί στέλνοντας ένα ειδικά σχεδιασμένο αίτημα στην εφαρμογή, προκαλώντας έτσι υπερχείλιση buffer και αποκτώντας τον έλεγχο του συστήματος για την εκτέλεση αυθαίρετου κώδικα.

Λόγω αυτού του κινδύνου, συνιστάται στους χρήστες να ενημερώσουν τα συστήματά τους στην έκδοση PHP 8.0.30 το συντομότερο δυνατό. Επιπλέον, θα πρέπει να ληφθούν μέτρα για την προστασία των εφαρμογών PHP από επιθέσεις, όπως η επικύρωση όλων των δεδομένων που εισάγουν οι χρήστες και η χρήση ενός τείχους προστασίας εφαρμογών ιστού (WAF).

Σύνδεσμος πηγής: https://thanhnien.vn/ngon-ngu-lap-trinh-php-bi-phat-hien-them-2-lo-hong-bao-mat-185230810094005089.htm