Mobile-Menu

Update: DoS und Spoofing möglich Kritische Schwachstellen in PHP gefährden Webseiten

Aktualisiert am 29.11.2024 Von Thomas Joos 1 min Lesedauer

Anbieter zum Thema

FTAPI Software GmbH

Nachdem die Entwickler von PHP bereits im Mai 2024 Updates für kritische Sicherheitslücken veröffentlicht haben, ermöglichen nun fünf neue PHP-Schwachstellen DoS-Angriffe und Spoofing.

Entwickler sollten so schnell wie möglich aktuelle Versionen von PHP installieren.(Bild: Maximusdn - stock.adobe.com)
Entwickler sollten so schnell wie möglich aktuelle Versionen von PHP installieren.
(Bild: Maximusdn - stock.adobe.com)

Derzeit sind Cyberangreifer in der Lage, beliebigen Programmcode auszuführen, Sicherheitsmaßnahmen zu umgehen oder Systeme außer Betrieb zu setzen, wenn sie eine der Sicherheitslücken in PHP ausnutzen. Zwei dieser Schwachstellen sind mit einem CVSS von 9.8 kritisch: CVE-2024-8932 und CVE-2024-11236. Weitere Schwachstellen mit mittlerem Schweregrad sind CVE-2024-8929, CVE-2024-11233 und CVE-2024-11234. PHP behebt die Sicherheitslücken, die Spoofing- und DoS-Angriffe ermöglichen, mit den Updates 8.1.31, 8.2.26 und 8.3.14.

DoS und Command Injection

Bereits im Mai 2024 veröffentlichte PHP die Sicherheitsupdates 8.1.28, 8.2.18, 8.3.6. Diese schlossen die Sicherheitslücken CVE-2024-1874, CVE-2024-2757, CVE-2024-2756 und CVE-2024-3096. Sind diese Schwachstellen mithilfe des Updates nicht geschlossen, können Cyberangreifer Software kompromittieren und Malware auf die Computer übertragen

Für PHP 8.3.6 umfassen die Sicherheitskorrekturen die Behebung von vier CVEs: CVE-2024-1874, CVE-2024-2756, CVE-2024-3096 und CVE-2024-2757. Dabei behandelt CVE-2024-2757 einen Fehler in der Funktion „mb_encode_mimeheader“, der unter bestimmten Eingaben zu einer Endlosschleife führen kann. Dieser Fehler könnte für Denial-of-Service-Angriffe ausgenutzt werden, zum Beispiel in Umgebungen, wo PHP zur Verarbeitung von E-Mail-Headern genutzt wird.

PHP 8.2.18 und PHP 8.1.28 beheben ebenfalls kritische Sicherheitslücken, darunter CVE-2024-1874, CVE-2024-2756 und CVE-2024-3096. Diese Sicherheitslücken umfassen unter anderem eine Schwachstelle, die es ermöglicht, über manipulierte Befehlszeilenargumente auf Windows-Systemen unerlaubte Kommandos zu injizieren, selbst wenn die Option „bypass_shell“ aktiviert ist. Ein weiterer Fehler, der in beiden Versionen korrigiert wurde, betrifft die Funktion „password_verify“, bei der eine falsche Handhabung von Null-Bytes am Anfang verschlüsselter Passwörter dazu führen konnte, dass eine leere Zeichenkette fälschlicherweise als gültiges Passwort akzeptiert wurde.

(ID:50011598)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte