BDU:2022-02653

Опубликовано: 27 янв. 2015

Источник: fstec

CVSS3: 7.3

CVSS2: 7.5

EPSS Высокий

Описание

Уязвимость функции process_nested_data интерпретатора языка программирования PHP связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Canonical Ltd.

PHP Group

Red Hat Inc.

Novell Inc.

Сообщество свободного программного обеспечения

Наименование ПО

Ubuntu

PHP

Red Hat Enterprise Linux

OpenSUSE Leap

Debian GNU/Linux

Версия ПО

14.10 (Ubuntu)

от 5.4.0 до 5.4.37 (PHP)

от 5.5.0 до 5.5.21 (PHP)

от 5.6.0 до 5.6.5 (PHP)

7 (Red Hat Enterprise Linux)

12.04 (Ubuntu)

15.0 (OpenSUSE Leap)

14.04 ESM (Ubuntu)

7 (Debian GNU/Linux)

6 (Debian GNU/Linux)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 14.10

Red Hat Inc. Red Hat Enterprise Linux 7

Canonical Ltd. Ubuntu 12.04

Novell Inc. OpenSUSE Leap 15.0

Canonical Ltd. Ubuntu 14.04 ESM

Сообщество свободного программного обеспечения Debian GNU/Linux 7

Сообщество свободного программного обеспечения Debian GNU/Linux 6

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://github.com/php/php-src/commit/b585a3aed7880a5fa5c18e2b838fc96f40e075bd

https://bugs.php.net/bug.php?id=68710

Для программных продуктов Novell Inc.:

https://www.suse.com/security/cve/CVE-2015-0231

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/hydra/rest/securitydata/cve/CVE-2015-0231.xml

Для Ubuntu:

https://ubuntu.com/security/CVE-2015-0231

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2015-0231

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0231
CVE

EPSS

Процентиль: 99%

0.87334

Высокий

7.3 High

CVSS3

7.5 High

CVSS2

Связанные уязвимости

CVE-2015-0231

ubuntu

больше 10 лет назад

Use-after-free vulnerability in the process_nested_data function in ext/standard/var_unserializer.re in PHP before 5.4.37, 5.5.x before 5.5.21, and 5.6.x before 5.6.5 allows remote attackers to execute arbitrary code via a crafted unserialize call that leverages improper handling of duplicate numerical keys within the serialized properties of an object. NOTE: this vulnerability exists because of an incomplete fix for CVE-2014-8142.