De nieuwste versies van PHP werden onlangs vrijgegeven (PHP-versie 7.3.9, 7.2.22 en 7.1.32 tussen verschillende takken) om een aantal zeer kritieke kwetsbaarheden in de kern en gebundelde bibliotheken aan te pakken. De meest gevaarlijke van deze kwetsbaarheden zijn degenen die kunnen leiden tot uitvoering van externe code.
Bijna 80% van alle websites die draaien op PHP. Meer in het bijzonder, "PHP wordt gebruikt door 78.9% van alle websites waarvan de server-side programmeertaal we weten", volgens W3Techs statistieken. Dit betekent dat de beveiligingslekken kan gevolgen hebben voor een groot aantal webapplicaties die PHP gebruiken, waaronder websites die draaien op content management systemen zoals WordPress en Drupal, onderzoekers waarschuwen.
Specifieker, afhankelijk van de getroffen codebase in een PHP-app, het worst-case scenario aanvallen op basis van deze gebreken kan leiden tot bedreiging actoren om willekeurige code uit te voeren in het kader van de toepassing. In het geval van een mislukte poging van uitbuiting, een denial-of-service (DoS) voorwaarde kan worden veroorzaakt op de getroffen systemen.
Meer over CVE-2019-13.224
Het ergste van de gebreken is bekend onder de CVE-2019-13.224 adviserende. Volgens de officiële CVE-2019-13.224 beschrijving, de kwetsbaarheid is “een use-after-free in onig_new_deluxe() in regext.c in Oniguruma 6.9.2”Dat zou kunnen aanvallers mogelijk leiden tot vrijgeven van informatie, denial of service, of eventueel code kan worden uitgevoerd door een bewerkte reguliere expressie.
De aanvaller heeft een paar van een reguliere expressie patroon en een string, met een multi-byte codering die wordt behandeld door onig_new_deluxe(). Oniguruma kwesties vaak van invloed op Ruby, alsmede gemeenschappelijke optionele bibliotheken voor PHP en Rust, de adviserende leest.
De reeds beschikbare plekken adres kwetsbaarheden in cURL, Exif-functie, FastCGI Process Manager, OPcache. Er is momenteel geen informatie van actieve aanvallen tegen deze gebreken. Echter, onmiddellijke patching vereist, dus overweeg het updaten naar de nieuwste versie van PHP versie 7.3.9, 7.2.22, of 7.1.32 zo spoedig mogelijk. Opgemerkt dient te worden dat de PHP-versie 7.1.32 stelt de CVE-2019-13.224 fout.
Milena Dimitrova
Een bevlogen schrijver en contentmanager die sinds de start van het project bij SensorsTechForum werkt. Een professional met 10+ jarenlange ervaring in het creëren van boeiende inhoud. Gericht op de privacy van gebruikers en malware ontwikkeling, ze gelooft sterk in een wereld waar cybersecurity speelt een centrale rol. Als het gezond verstand heeft geen zin, ze zullen er zijn om aantekeningen te maken. Deze toelichtingen kunnen later om te zetten in artikelen! Volg Milena @Milenyim
Volg mij: