CVE-2016-7398

Type confusion w PHP pecl-http umożliwia RCE przez spreparowane żądania HTTP

CVSS 9.8v3.1pub. 2019-09-06upd. 2024-11-21

Podatność typu type confusion w funkcji merge_param() rozszerzenia pecl-http dla PHP pozwala atakującemu na zdalne wykonanie kodu lub crash procesu PHP. Zagrożenie jest krytyczne, ponieważ nie wymaga uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

A type confusion vulnerability in the merge_param() function of php_http_params.c in PHP's pecl-http extension 3.1.0beta2 (PHP 7) and earlier as well as 2.6.0beta2 (PHP 5) and earlier allows attackers to crash PHP and possibly execute arbitrary code via crafted HTTP requests.

🤖 Analiza AI

Jak działa

Błąd znajduje się w funkcji merge_param() w pliku php_http_params.c rozszerzenia pecl-http. Atakujący wysyła spreparowane żądanie HTTP zawierające dane, które powodują nieprawidłową konwersję typów (type confusion) podczas przetwarzania parametrów. Niepoprawne założenie co do typu przetwarzanego obiektu może prowadzić do uszkodzenia pamięci, awaryjnego zakończenia procesu PHP lub wykonania dowolnego kodu.

Skutki

Atakujący może doprowadzić do awarii (crash) serwera PHP lub potencjalnie wykonać dowolny kod na serwerze (RCE), co może skutkować pełnym przejęciem kontroli nad systemem.

Mitygacja

Należy zaktualizować rozszerzenie pecl-http do wersji zawierającej poprawkę dostępną w repozytorium projektu (commit 17137d4ab1ce81a2cee0fae842340a344ef3da83). Użytkownicy dystrybucji Debian powinni zastosować aktualizację opublikowaną w debian-lts-announce z września 2019 r. W ogólności należy zastosować patche dostępne u producenta zgodnie z referencjami.