PHP (php-fpm) biztonsági sérülékenység

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

5.5.0(Base) | 5.5.1(Base) | 5.5.10(Base) | 5.5.11(Base) | 5.5.12(Base) | 5.5.13(Base) | 5.5.14(Base) | 5.5.15(Base) | 5.5.16(Base) | 5.5.17(Base) | 5.5.18(Base) | 5.5.19(Base) | 5.5.20(Base) | 5.5.21(Base) | 5.5.22(Base) | 5.5.23(Base) | 5.5.24(Base) | 5.6.1(Base) | 5.6.0(Base) | 5.6.2(Base) | 5.6.3(Base) | 5.6.4(Base) | 5.6.5(Base) | 5.6.6(Base) | 5.6.8(Base) | 5.6.7(Base) | 5.6.9(Base) | 5.6.21(Base) | 5.6.22(Base) | 5.6.23(Base) | 5.4.43(Base) | 5.4.44(Base) | 5.6.10(Base) | 5.6.11(Base) | 5.6.12(Base) | 5.5.25(Base) | 5.5.26(Base) | 5.5.27(Base) | 5.5.28(Base) | 5.6.24(Base) | 5.6.25(Base) | 5.6.26(Base) | 5.6.27(Base) | 5.6.28(Base) | 5.6.29(Base) | 5.6.30(Base) | 5.6.31(Base) | 7.0(.0,.1,.2,.3,.4,.5,.6,.7,.8,.9,.10,.11,.12,.13,.14,.15,.16,.17,.18,.19,.20,.21,.22,.23,.24) | 7.1(.0,.1,.2,.3,.4,.5,.6,.7,.8,.9,.10) | 7.2(.0,.1,.2)

Összefoglaló

A php-fpm sérülékenysége vált ismertté, melyet kihasználva távoli felhasználó képes szolgáltatás megtagadásos (DoS) állapotot létrehozni.

Leírás

A most publikált sérülékenység kihasználása egy manuálisan átalakított PHP szkript  futtatásával valósulhat meg, amelynek a nem megfelelő feldolgozása felemészti a rendelkezésre álló CPU erőforrást és maximális lemezterület használatot generál, ezzel létrehozva a szolgáltatás megtagadásos (DoS)  állapotot. A sérülékenység távoli kihasználásához megengedő hálózati szabályok esetén van lehetőség, így a nem megbízható forrásból elküldhető és futtatható a megosztott hálózati host szerveren az átalakított káros szkript.

Megoldás

Megoldás

Az alábbi linken elérhető egy javító patch, amit a PHP oldalán a #73342 hibajelentésben tesznek közzé:

https://gist.github.com/anonymous/080bdb43fe9a0eb57609a93e9e4dd093

Támadás típusa

Hatás

Szükséges hozzáférés

Hivatkozások

Gyártói referencia: bugs.php.net
Gyártói referencia: bugs.php.net
Gyártói referencia: bugs.php.net
Egyéb referencia: tools.cisco.com
CVE-2015-9253 - NVD CVE-2015-9253