Zwei kritische PHP-Schwachstellen behoben
Kürzlich wurden zwei kritische Sicherheitslücken in PHP behoben, die es einem Angreifer ermöglichen könnten, vertrauliche Informationen zu stehlen, einen Systemabsturz zu verursachen und beliebigen Code auf dem betroffenen Rechner auszuführen. Diese Sicherheitslücken wurden durch den unsachgemäßen Umgang von PHP mit bestimmten XML-Dateien (CVE-2023-3823) und bestimmten PHAR-Dateien (CVE-2023-3824) verursacht.
Beide Sicherheitslücken wurden in den PHP-Versionen 8.0.* vor 8.0.30, 8.1.* vor 8.1.22 und 8.2.* vor 8.2.8 gefunden. Die neuen PHP-Updates wurden zur Verfügung gestellt, um diese hochgradig gefährlichen Sicherheitslücken zu schließen. Daher ist es wichtig, so bald wie möglich auf die neueste Version zu aktualisieren, um Ihr System vor den Risiken zu schützen, die mit diesen ausnutzbaren Sicherheitslücken verbunden sind.
Behebung von PHP-Schwachstellen
In PHP hängen verschiedene XML-Funktionen vom globalen libxml-Zustand ab, um Konfigurationsvariablen zu überwachen, einschließlich des Ladens von externen Entitäten. In der Regel wird davon ausgegangen, dass dieser globale Status unverändert bleibt, es sei denn, er wird vom Benutzer durch bestimmte Funktionen explizit verändert.
Da dieser Zustand jedoch für den gesamten Prozess gemeinsam genutzt wird, können andere Module, wie z. B. ImageMagick, die innerhalb desselben Prozesses arbeiten, ebenfalls mit dieser Bibliothek interagieren und den globalen Zustand für ihre eigenen internen Zwecke ändern. Folglich kann der globale Zustand so belassen werden, dass das Laden externer Entitäten aktiviert bleibt.
Dies kann dazu führen, dass externe XML-Dateien mit geladenen externen Entitäten unbeabsichtigt geparst werden, wodurch möglicherweise sensible lokale Dateien für PHP zugänglich werden. Dieser anfällige Zustand kann über mehrere Anfragen innerhalb desselben Prozesses bestehen bleiben, bis der Prozess beendet wird.
Ein potenzielles Sicherheitsproblem tritt beim Laden von phar-Dateien auf. Insbesondere beim Lesen von PHAR (PHP-Archiv)-Verzeichniseinträgen kann eine unzureichende Längenüberprüfung einen Stapelpufferüberlauf auslösen. Dieser Überlauf kann zu einer Beschädigung des Speichers führen oder sogar Angriffe mit Remote Code Execution (RCE) ermöglichen.
PHP-Unterstützung für den erweiterten Lebenszyklus
Jede Codebasis, auch PHP, weist Schwachstellen auf. Folglich können Ihre Websites Anwendungsangriffen und Ausbeutungsversuchen ausgesetzt sein. Wenn ein Hersteller ein Produkt abkündigt, stellt er den Support für Ihre aktuelle PHP-Version ein. Der PHP Extended Lifecycle Support von Tuxcare bietet eine schnelle Lösung, indem er fortlaufend Sicherheitsupdates bereitstellt, auch nachdem der offizielle Support ausgelaufen ist.
TuxCare hat den Sicherheitspatch für die oben genannten Schwachstellen bereits für seine Linux-Distributionen mit erweitertem Lebenszyklus-Support veröffentlicht, darunter CentOS 6, CentOS 8.4, CentOS 8.5, CloudLinux6, Oracle Linux 6, Ubuntu 16.04 und Ubuntu 18.04.
Darüber hinaus bietet PHP Extended Lifecycle Support außergewöhnliche Flexibilität, indem es den parallelen Betrieb mehrerer PHP-Versionen auf demselben System ermöglicht. Mit dieser Funktion können Sie mehrere Websites hosten, die mit unterschiedlichen PHP-Versionen laufen, ohne dass es zu Kompatibilitätsproblemen kommt. Lesen Sie hier mehr.
Die Quellen für diesen Artikel sind u.a. ein Bericht von LinuxSecurity.