ClickCease Zwei kritische PHP-Schwachstellen behoben

Abonnieren Sie unseren beliebten Newsletter

Schließen Sie sich 4.500+ Linux- und Open-Source-Experten an!

2x im Monat. Kein Spam.

Zwei kritische PHP-Schwachstellen behoben

von Rohan Timalsina

18. September 2023. TuxCare-Expertenteam

Kürzlich wurden zwei kritische Sicherheitslücken in PHP behoben, die es einem Angreifer ermöglichen könnten, vertrauliche Informationen zu stehlen, einen Systemabsturz zu verursachen und beliebigen Code auf dem betroffenen Rechner auszuführen. Diese Sicherheitslücken wurden durch den unsachgemäßen Umgang von PHP mit bestimmten XML-Dateien (CVE-2023-3823) und bestimmten PHAR-Dateien (CVE-2023-3824) verursacht.

Beide Sicherheitslücken wurden in den PHP-Versionen 8.0.* vor 8.0.30, 8.1.* vor 8.1.22 und 8.2.* vor 8.2.8 gefunden. Die neuen PHP-Updates wurden zur Verfügung gestellt, um diese hochgradig gefährlichen Sicherheitslücken zu schließen. Daher ist es wichtig, so bald wie möglich auf die neueste Version zu aktualisieren, um Ihr System vor den Risiken zu schützen, die mit diesen ausnutzbaren Sicherheitslücken verbunden sind.

 

Behebung von PHP-Schwachstellen

CVE-2023-3823

In PHP hängen verschiedene XML-Funktionen vom globalen libxml-Zustand ab, um Konfigurationsvariablen zu überwachen, einschließlich des Ladens von externen Entitäten. In der Regel wird davon ausgegangen, dass dieser globale Status unverändert bleibt, es sei denn, er wird vom Benutzer durch bestimmte Funktionen explizit verändert.

Da dieser Zustand jedoch für den gesamten Prozess gemeinsam genutzt wird, können andere Module, wie z. B. ImageMagick, die innerhalb desselben Prozesses arbeiten, ebenfalls mit dieser Bibliothek interagieren und den globalen Zustand für ihre eigenen internen Zwecke ändern. Folglich kann der globale Zustand so belassen werden, dass das Laden externer Entitäten aktiviert bleibt.

Dies kann dazu führen, dass externe XML-Dateien mit geladenen externen Entitäten unbeabsichtigt geparst werden, wodurch möglicherweise sensible lokale Dateien für PHP zugänglich werden. Dieser anfällige Zustand kann über mehrere Anfragen innerhalb desselben Prozesses bestehen bleiben, bis der Prozess beendet wird.

 

CVE-2023-3824

Ein potenzielles Sicherheitsproblem tritt beim Laden von phar-Dateien auf. Insbesondere beim Lesen von PHAR (PHP-Archiv)-Verzeichniseinträgen kann eine unzureichende Längenüberprüfung einen Stapelpufferüberlauf auslösen. Dieser Überlauf kann zu einer Beschädigung des Speichers führen oder sogar Angriffe mit Remote Code Execution (RCE) ermöglichen.

 

PHP-Unterstützung für den erweiterten Lebenszyklus

Jede Codebasis, auch PHP, weist Schwachstellen auf. Folglich können Ihre Websites Anwendungsangriffen und Ausbeutungsversuchen ausgesetzt sein. Wenn ein Hersteller ein Produkt abkündigt, stellt er den Support für Ihre aktuelle PHP-Version ein. Der PHP Extended Lifecycle Support von Tuxcare bietet eine schnelle Lösung, indem er fortlaufend Sicherheitsupdates bereitstellt, auch nachdem der offizielle Support ausgelaufen ist.

TuxCare hat den Sicherheitspatch für die oben genannten Schwachstellen bereits für seine Linux-Distributionen mit erweitertem Lebenszyklus-Support veröffentlicht, darunter CentOS 6, CentOS 8.4, CentOS 8.5, CloudLinux6, Oracle Linux 6, Ubuntu 16.04 und Ubuntu 18.04.

Darüber hinaus bietet PHP Extended Lifecycle Support außergewöhnliche Flexibilität, indem es den parallelen Betrieb mehrerer PHP-Versionen auf demselben System ermöglicht. Mit dieser Funktion können Sie mehrere Websites hosten, die mit unterschiedlichen PHP-Versionen laufen, ohne dass es zu Kompatibilitätsproblemen kommt. Lesen Sie hier mehr.

 

Die Quellen für diesen Artikel sind u.a. ein Bericht von LinuxSecurity.

Zusammenfassung
Zwei kritische PHP-Schwachstellen behoben
Artikel Name
Zwei kritische PHP-Schwachstellen behoben
Beschreibung
Zwei kritische PHP-Schwachstellen wurden behoben, die es einem Angreifer ermöglichen könnten, vertrauliche Informationen zu stehlen und beliebigen Code auszuführen.
Autor
Name des Herausgebers
TuxCare
Logo des Herausgebers

Möchten Sie das Patchen von Sicherheitslücken ohne Kernel-Neustart, Systemausfallzeiten oder geplante Wartungsfenster automatisieren?

Werden Sie ein TuxCare-Gastautor

E-Mail

Beitreten

4,500

Linux & Open Source
Fachleute!

Abonnieren Sie
unseren Newsletter