Összefoglaló
A PHP több sérülékenységét jelentették, amelyeket kihasználva a támadók számára távoli kódfuttatásra nyílik lehetőség, valamint szolgáltatás megtagadást idézhetnek elő.
Leírás
Az egyik hiba az ext/standard/var_unserializer.re esetében merült fel. Az object_custom() függvény nem részletezett hibáját kihasználva puffertúlcsordulást lehet előidézni.
Egy másik sebezhetőség az ext/exif/exif.c állományban lévő exif_ifd_make_value() függvényt érinti, és szintén puffertúlcsordulási hibához vezethet.
A harmadik sérülékenység az ext/xmlrpc/libxmlrpc/xmlrpc.c fájlban található ext/xmlrpc/libxmlrpc/xmlrpc.c függvényt érinti, és memóriakezelési rendellenességeket okozhat.
Megoldás
A PHP 5.6.2-es, 5.5.18-as vagy 5.4.34-es verzióira történő frissítés.
Támadás típusa
Deny of service (Szolgáltatás megtagadás)System access (Rendszer hozzáférés)
Hatás
Loss of availability (Elérhetőség elvesztése)Loss of confidentiality (Bizalmasság elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Egyéb referencia: www.isbk.hu
CVE-2014-3668 - NVD CVE-2014-3668
CVE-2014-3669 - NVD CVE-2014-3669
CVE-2014-3670 - NVD CVE-2014-3670