ภาษาโปรแกรม PHP ค้นพบช่องโหว่ด้านความปลอดภัยเพิ่มอีก 2 ช่อง

Security Online รายงานว่าพบช่องโหว่ใหม่ 2 รายการใน PHP และกำหนดรหัส CVE-2023-3823 และ CVE-2023-3824 ช่องโหว่ CVE-2023-3823 มีคะแนน CVSS อยู่ที่ 8.6 และเป็นช่องโหว่การเปิดเผยข้อมูล ซึ่งทำให้ผู้โจมตีจากระยะไกลสามารถเข้าถึงข้อมูลสำคัญจากแอปพลิเคชัน PHP ได้

ช่องโหว่นี้เกิดจากการตรวจสอบอินพุต XML ที่ผู้ใช้ป้อนไม่เพียงพอ ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่นี้ได้โดยการส่งไฟล์ XML ที่สร้างขึ้นเป็นพิเศษไปยังแอปพลิเคชัน โค้ดจะถูกวิเคราะห์โดยแอปพลิเคชัน และผู้โจมตีสามารถเข้าถึงข้อมูลสำคัญ เช่น เนื้อหาของไฟล์ในระบบ หรือผลลัพธ์ของคำขอจากภายนอก

อันตรายก็คือแอปพลิเคชัน ไลบรารี และเซิร์ฟเวอร์ใดๆ ที่วิเคราะห์หรือโต้ตอบกับเอกสาร XML จะเสี่ยงต่อช่องโหว่นี้

Ngôn ngữ PHP bị phát hiện thêm 2 lỗ hổng bảo mật - Ảnh 1. — เนื่องจาก PHP เป็นภาษาการเขียนโปรแกรมยอดนิยมในปัจจุบัน ข้อบกพร่องด้านความปลอดภัยจึงถือว่าร้ายแรง

ในขณะเดียวกัน CVE-2023-3824 เป็นช่องโหว่บัฟเฟอร์โอเวอร์โฟลว์ที่มีคะแนน CVSS 9.4 ซึ่งทำให้ผู้โจมตีจากระยะไกลสามารถรันโค้ดตามอำเภอใจบนระบบที่รัน PHP ช่องโหว่นี้เกิดจากฟังก์ชันใน PHP ที่ทำการตรวจสอบขอบเขตที่ไม่เหมาะสม ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่นี้ได้โดยการส่งคำขอที่สร้างขึ้นเป็นพิเศษไปยังแอปพลิเคชัน ทำให้เกิดบัฟเฟอร์โอเวอร์โฟลว์และควบคุมระบบให้รันโค้ดตามอำเภอใจได้

เนื่องจากความเสี่ยงนี้ ขอแนะนำให้ผู้ใช้อัปเดตระบบเป็น PHP เวอร์ชัน 8.0.30 โดยเร็วที่สุด นอกจากนี้ ควรดำเนินการเพื่อป้องกันแอปพลิเคชัน PHP จากการโจมตี เช่น การตรวจสอบข้อมูลอินพุตทั้งหมดของผู้ใช้ และการใช้ไฟร์วอลล์เว็บแอปพลิเคชัน (WAF)

ลิงค์ที่มา