2018-2476: PHP: Mehrere Schwachstellen ermöglichen u. a. die Ausführung beliebiger Shell-Kommandos

Historie:

Version 1 (2018-12-06 11:52)

Neues Advisory

Version 2 (2018-12-10 18:19)

Die offiziellen PHP Releases 7.3.0 und 7.0.33 stehen jetzt ebenfalls zum Download bereit. Beide Versionen beheben die Schwachstelle CVE-2018-19935, welche einem entfernten, nicht authentisierten Angreifer einen Denial-of-Service-Angriff ermöglicht. Das Release 7.3.0 behebt zusätzlich die Schwachstelle PHP-SEC-BUG-77022, welche einem Angreifer die Manipulation und vermutlich das Ausspähen von Dateien ermöglicht. Für Fedora 28 und 29 wurden die Sicherheitsupdates auf die Paketversionen 'php-7.2.13-2' aktualisiert. Obwohl von PHP bisher nicht für die Version 7.2.13 aufgeführt, benennt Fedora die Schwachstelle CVE-2018-19935 in den referenzierten Sicherheitshinweisen als behoben.

Version 3 (2018-12-11 11:48)

Debian veröffentlicht für die stabile Distribution Strech (9.6) ein Sicherheitsupdate auf die PHP Version 7.0.33 und adressiert damit die referenzierten Schwachstellen, sowie drei ältere Schwachstellen, die bereits in vorhergehenden PHP Releases behoben wurden. Dazu gehört die Schwachstelle CVE-2018-17082, die von einem entfernten, nicht authentisierten Angreifer für die Durchführung eines Cross-Site-Scripting-Angriffs verwendet werden kann und mit dem PHP Release 7.0.32 behoben wurde. Sowie die Denial-of-Service-Schwachstellen CVE-2018-14851 und CVE-2018-14883, die mit der PHP Version 7.0.31 korrigiert wurden.

Version 4 (2018-12-11 13:23)

Die referenzierten Schwachstellen werden auch in einem Sicherheitsupdate für den Versionszweig PHP 5 behoben. Die Software wird damit auf Version 5.6.39 aktualisiert.

Version 5 (2018-12-17 11:57)

Für Debian 8 Jessie (LTS) steht ein Sicherheitsupdate für 'php5' auf die Version 5.6.39 bereit.

Betroffene Software

Entwicklung
Server

Betroffene Plattformen

Linux

Beschreibung:

Ein vermutlich entfernter, nicht authentisierter Angreifer kann eine Schwachstelle in PHP ausnutzen, um beliebige Betriebssystemkommandos über einen IMAP Mailbox-Parameter zur Ausführung zu bringen. Weitere von der PHP Group als Sec Bugs bezeichnete Probleme lassen sich wahrscheinlich für Denial-of-Service (DoS)-Angriffe ausnutzen.

Der Hersteller stellt die PHP Releases 7.2.13 und 7.1.25 zur Behebung der Schwachstellen bereit, wenngleich diese Versionen derzeit noch nicht über die PHP Download-Seiten abrufbar sind.

Für Fedora 28 und 29 stehen Sicherheitsupdates auf die PHP Version 7.2.13 (06 Dec 2018) im Status 'testing' zur Verfügung.

SUSE stellt für die SUSE Linux Enterprise Produkte Software Development Kit 11 SP4, 12 SP3 und SP4, Server 11 SP4 und Debuginfo 11 SP4 sowie das Module for Web Scripting 12 Backport-Sicherheitsupdates zur Behebung der Schwachstelle CVE-2018-19518 bereit.

Schwachstellen:

CVE-2018-19518

Schwachstelle in PHP IMAP ermöglicht Ausführung beliebiger Shell-Kommandos

CVE-2018-19935

Schwachstelle in PHP IMAP ermöglicht Denial-of-Service-Angriff

PHP-SEC-BUG-77022

Schwachstelle in PHP PHAR ermöglicht u. a. Manipulation von Dateien

PHP-SEC-BUG-77143

Schwachstelle in PHP Phar ermöglicht Denial-of-Service-Angriff

PHP-SEC-BUG-77231

Schwachstelle in PHP Core ermöglicht Denial-of-Service-Angriff

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.