Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2019-01554

Опубликовано: 22 фев. 2019
Источник: fstec
CVSS3: 9.8
CVSS2: 7.5
EPSS Средний

Описание

Уязвимость в интерпретаторе языка программирования PHP связана с чтением за пределами границ буфера памяти при обработки регулярных выражений. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании, нарушить конфиденциальность и целостность защищаемых данных путем отправки специально сформированных данных

Вендор

Novell Inc.
Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»
PHP Group

Наименование ПО

SUSE Linux Enterprise Debuginfo
Debian GNU/Linux
Astra Linux Special Edition
PHP
Suse Linux Enterprise Server
SUSE Linux Enterprise Software Development Kit
SUSE Linux Enterprise Point of Sale

Версия ПО

11 sp4 (SUSE Linux Enterprise Debuginfo)
9 (Debian GNU/Linux)
1.6 «Смоленск» (Astra Linux Special Edition)
8.0 (Debian GNU/Linux)
до 5.6.40 (PHP)
от 7.2.0 до 7.2.14 (PHP)
от 7.3.0 до 7.3.1 (PHP)
11 SP4 (Suse Linux Enterprise Server)
11 SP4 (SUSE Linux Enterprise Software Development Kit)
от 7.0.0 до 7.1.26 (PHP)
11 SP3 (SUSE Linux Enterprise Point of Sale)

Тип ПО

Прикладное ПО информационных систем
Операционная система

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Для Php5:
Обновление программного обеспечения до 5.6.40+dfsg-0+deb8u1 или более поздней версии
Для Php7.0:
Обновление программного обеспечения до 7.0.33-0+deb9u2 или более поздней версии
Для Php7.3:
Обновление программного обеспечения до 7.3.2-3 или более поздней версии
Для Debian:
Обновление программного обеспечения (пакета php5) до 5.6.40+dfsg-0+deb8u1 или более поздней версии
Обновление программного обеспечения (пакета php7.0) до 7.0.33-0+deb9u2 или более поздней версии
Обновление программного обеспечения (пакета php7.3) до 7.3.2-3 или более поздней версии
Для ОС Astra Linux 1.6 «Смоленск»:
обновить пакет php7.0 до 7.0.33-0+deb9u3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/pages/viewpage.action?pageId=57444186

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 95%
0.19063
Средний

9.8 Critical

CVSS3

7.5 High

CVSS2

Связанные уязвимости

ubuntu логотип

CVE-2019-9023

CVSS3: 9.8
ubuntu
больше 6 лет назад

An issue was discovered in PHP before 5.6.40, 7.x before 7.1.26, 7.2.x before 7.2.14, and 7.3.x before 7.3.1. A number of heap-based buffer over-read instances are present in mbstring regular expression functions when supplied with invalid multibyte data. These occur in ext/mbstring/oniguruma/regcomp.c, ext/mbstring/oniguruma/regexec.c, ext/mbstring/oniguruma/regparse.c, ext/mbstring/oniguruma/enc/unicode.c, and ext/mbstring/oniguruma/src/utf32_be.c when a multibyte regular expression pattern contains invalid multibyte sequences.

redhat логотип

CVE-2019-9023

CVSS3: 5.4
redhat
больше 6 лет назад

An issue was discovered in PHP before 5.6.40, 7.x before 7.1.26, 7.2.x before 7.2.14, and 7.3.x before 7.3.1. A number of heap-based buffer over-read instances are present in mbstring regular expression functions when supplied with invalid multibyte data. These occur in ext/mbstring/oniguruma/regcomp.c, ext/mbstring/oniguruma/regexec.c, ext/mbstring/oniguruma/regparse.c, ext/mbstring/oniguruma/enc/unicode.c, and ext/mbstring/oniguruma/src/utf32_be.c when a multibyte regular expression pattern contains invalid multibyte sequences.

nvd логотип

CVE-2019-9023

CVSS3: 9.8
nvd
больше 6 лет назад

An issue was discovered in PHP before 5.6.40, 7.x before 7.1.26, 7.2.x before 7.2.14, and 7.3.x before 7.3.1. A number of heap-based buffer over-read instances are present in mbstring regular expression functions when supplied with invalid multibyte data. These occur in ext/mbstring/oniguruma/regcomp.c, ext/mbstring/oniguruma/regexec.c, ext/mbstring/oniguruma/regparse.c, ext/mbstring/oniguruma/enc/unicode.c, and ext/mbstring/oniguruma/src/utf32_be.c when a multibyte regular expression pattern contains invalid multibyte sequences.

debian логотип

CVE-2019-9023

CVSS3: 9.8
debian
больше 6 лет назад

An issue was discovered in PHP before 5.6.40, 7.x before 7.1.26, 7.2.x ...

github логотип

GHSA-f6fp-28gh-x93q

CVSS3: 9.8
github
около 3 лет назад

An issue was discovered in PHP before 5.6.40, 7.x before 7.1.26, 7.2.x before 7.2.14, and 7.3.x before 7.3.1. A number of heap-based buffer over-read instances are present in mbstring regular expression functions when supplied with invalid multibyte data. These occur in ext/mbstring/oniguruma/regcomp.c, ext/mbstring/oniguruma/regexec.c, ext/mbstring/oniguruma/regparse.c, ext/mbstring/oniguruma/enc/unicode.c, and ext/mbstring/oniguruma/src/utf32_be.c when a multibyte regular expression pattern contains invalid multibyte sequences.

EPSS

Процентиль: 95%
0.19063
Средний

9.8 Critical

CVSS3

7.5 High

CVSS2