Két távoli kódfuttatási hibát javítottak a PHP 8 biztonsági frissítései
A PHP 8 teljes termékvonalához kiadott biztonsági frissítések két távoli kódfuttatási hibát javítanak. A sérülékenységek CVSS-értéke 9,2, vagyis kritikus közeli súlyosságúak, ezért a PHP-t használó rendszerek üzemeltetőinek sürgősen telepíteniük kell az új verziókat. A hibákhoz kapcsolódó támadási minták már a javítások megjelenése előtt terjedni kezdtek.
A koordinált hibafeltárás folyamatát október 20-án zavarta meg, hogy a két CVE-azonosító online fórumokon és közösségi oldalakon kezdett keringeni. A kiszivárgott információk között tévesen 10,0-s CVSS-érték és hibás megjelenési időpont is szerepelt, műszaki részletek azonban ekkor még nem kerültek nyilvánosságra. A PHP-projekt ezért a tervezett október 22-i kiadás helyett már október 21-én, 14:00 UTC-kor közzétette a frissítéseket.
A helyzetet tovább súlyosbította, hogy a sérülékenységeket jelentő egyik biztonsági cég, a Calif egy idő előtt publikált videóban működő proof of conceptet mutatott be több célponton. Bár a felvételt törölték, másolatai gyorsan terjedtek, és további kihasználási minták fejlesztését gyorsították fel. A PHP Foundation a történtek miatt a biztonsági együttműködés megerősítését ígéri.
Folytasd az appban — szavazz és szólj hozzá ➔