Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2022-02562

Опубликовано: 10 июл. 2017
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость функции parse_url интерпретатора языка программирования PHP существует из-за недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, подменить отображаемый URL

Вендор

Canonical Ltd.
PHP Group
Сообщество свободного программного обеспечения

Наименование ПО

Ubuntu
PHP
Debian GNU/Linux

Версия ПО

12.04 (Ubuntu)
7.0.0 (PHP)
7.0.1 (PHP)
17.04 (Ubuntu)
7.0.7 (PHP)
9 (Debian GNU/Linux)
14.04 ESM (Ubuntu)
8 (Debian GNU/Linux)
7 (Debian GNU/Linux)
16.04 ESM (Ubuntu)
7.0.4 (PHP)
7.0.5 (PHP)
до 5.6.27 включительно (PHP)
7.0.8 (PHP)
7.0.9 (PHP)
7.0.6 (PHP)
7.0.2 (PHP)
7.0.3 (PHP)
7.0.10 (PHP)
7.0.11 (PHP)
7.0.12 (PHP)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 12.04
Canonical Ltd. Ubuntu 17.04
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Canonical Ltd. Ubuntu 14.04 ESM
Сообщество свободного программного обеспечения Debian GNU/Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 7
Canonical Ltd. Ubuntu 16.04 ESM

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
http://php.net/ChangeLog-7.php
http://php.net/ChangeLog-5.php
http://openwall.com/lists/oss-security/2017/07/10/6
http://git.php.net/?p=php-src.git;a=commit;h=b061fa909de77085d3822a89ab901b934d0362c4
Для Ubuntu:
https://ubuntu.com/security/CVE-2016-10397
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2016-10397

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 51%
0.0028
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 7.5
ubuntu
почти 8 лет назад

In PHP before 5.6.28 and 7.x before 7.0.13, incorrect handling of various URI components in the URL parser could be used by attackers to bypass hostname-specific URL checks, as demonstrated by evil.example.com:80#@good.example.com/ and evil.example.com:80?@good.example.com/ inputs to the parse_url function (implemented in the php_url_parse_ex function in ext/standard/url.c).

CVSS3: 5.4
redhat
больше 8 лет назад

In PHP before 5.6.28 and 7.x before 7.0.13, incorrect handling of various URI components in the URL parser could be used by attackers to bypass hostname-specific URL checks, as demonstrated by evil.example.com:80#@good.example.com/ and evil.example.com:80?@good.example.com/ inputs to the parse_url function (implemented in the php_url_parse_ex function in ext/standard/url.c).

CVSS3: 7.5
nvd
почти 8 лет назад

In PHP before 5.6.28 and 7.x before 7.0.13, incorrect handling of various URI components in the URL parser could be used by attackers to bypass hostname-specific URL checks, as demonstrated by evil.example.com:80#@good.example.com/ and evil.example.com:80?@good.example.com/ inputs to the parse_url function (implemented in the php_url_parse_ex function in ext/standard/url.c).

CVSS3: 7.5
debian
почти 8 лет назад

In PHP before 5.6.28 and 7.x before 7.0.13, incorrect handling of vari ...

CVSS3: 7.5
github
около 3 лет назад

In PHP before 5.6.28 and 7.x before 7.0.13, incorrect handling of various URI components in the URL parser could be used by attackers to bypass hostname-specific URL checks, as demonstrated by evil.example.com:80#@good.example.com/ and evil.example.com:80?@good.example.com/ inputs to the parse_url function (implemented in the php_url_parse_ex function in ext/standard/url.c).

EPSS

Процентиль: 51%
0.0028
Низкий

7.5 High

CVSS3

7.8 High

CVSS2