2024-1476: PHP: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2024-06-06 17:38): Neues Advisory
Version 2 (2024-06-11 10:33): Die Schwachstelle CVE-2024-4577 wird aktiv ausgenutzt. Diese betrifft jedoch nur Windows-Systeme, die PHP im CGI-Modus verwenden.

Betroffene Software

Entwicklung
Server

Betroffene Plattformen

Linux
Microsoft

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Informationen auszuspähen, Sicherheitsvorkehrungen zu umgehen und beliebigen Programmcode auszuführen.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich.

Die Schwachstellen werden mit PHP in den Versionen 8.3.8, 8.2.20 und 8.1.29 adressiert.

Für Fedora 39 und 40 stehen die Pakete 'php-8.2.20-1.fc39' und 'php-8.3.8-1.fc40' als Sicherheitsupdates im Status 'testing' bereit, um die Schwachstellen zu beheben.

Schwachstellen:

CVE-2024-2408

Schwachstelle in PHP ermöglicht Ausspähen von Informationen

CVE-2024-4577

Schwachstelle in PHP ermöglicht Ausführen beliebigen Programmcodes

CVE-2024-5458

Schwachstelle in PHP ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2024-5585