Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-07680

Опубликовано: 29 сент. 2024
Источник: fstec
CVSS3: 9.8
CVSS2: 10
EPSS Низкий

Описание

Уязвимость интерпретатора языка программирования PHP связана с ошибками в настройках безопасности. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности и манипулировать журналами PHP-FPM

Вендор

Сообщество свободного программного обеспечения
ООО «Ред Софт»
Canonical Ltd.
ООО «РусБИТех-Астра»
PHP Group

Наименование ПО

Debian GNU/Linux
РЕД ОС
Ubuntu
Astra Linux Special Edition
PHP

Версия ПО

11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
7.3 (РЕД ОС)
22.04 LTS (Ubuntu)
24.04 LTS (Ubuntu)
1.8 (Astra Linux Special Edition)
до 8.1.30 (PHP)
до 8.2.24 (PHP)
до 8.3.12 (PHP)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
ООО «Ред Софт» РЕД ОС 7.3
Canonical Ltd. Ubuntu 22.04 LTS
Canonical Ltd. Ubuntu 24.04 LTS
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:
http://www.php.net/ChangeLog-8.php#8.1.30
http://www.php.net/ChangeLog-8.php#8.2.24
http://www.php.net/ChangeLog-8.php#8.3.12
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2024-9026
Для Ubuntu:
https://ubuntu.com/security/CVE-2024-8927
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОС Astra Linux:
обновить пакет php8.2 до 8.2.24-1~deb12u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0114SE18MD

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 3%
0.00018
Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVSS3: 9.8
redos
8 месяцев назад

Множественные уязвимости php

CVSS3: 9.8
redos
8 месяцев назад

Множественные уязвимости php

CVSS3: 9.8
redos
8 месяцев назад

Множественные уязвимости php

CVSS3: 3.3
ubuntu
8 месяцев назад

In PHP versions 8.1.* before 8.1.30, 8.2.* before 8.2.24, 8.3.* before 8.3.12, when using PHP-FPM SAPI and it is configured to catch workers output through catch_workers_output = yes, it may be possible to pollute the final log or remove up to 4 characters from the log messages by manipulating log message content. Additionally, if PHP-FPM is configured to use syslog output, it may be possible to further remove log data using the same vulnerability.

CVSS3: 3.3
redhat
8 месяцев назад

In PHP versions 8.1.* before 8.1.30, 8.2.* before 8.2.24, 8.3.* before 8.3.12, when using PHP-FPM SAPI and it is configured to catch workers output through catch_workers_output = yes, it may be possible to pollute the final log or remove up to 4 characters from the log messages by manipulating log message content. Additionally, if PHP-FPM is configured to use syslog output, it may be possible to further remove log data using the same vulnerability.

EPSS

Процентиль: 3%
0.00018
Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2