ภาษาโปรแกรม PHP ค้นพบช่องโหว่ด้านความปลอดภัยเพิ่มอีก 2 ช่อง

ตามรายงานของ Security Online พบว่ามีช่องโหว่ใหม่ 2 ช่องใน PHP และกำหนดรหัสประจำตัวเป็น CVE-2023-3823 และ CVE-2023-3824 CVE-2023-3823 ที่มีคะแนน CVSS 8.6 เป็นช่องโหว่การเปิดเผยข้อมูลที่ช่วยให้ผู้โจมตีจากระยะไกลสามารถรับข้อมูลที่ละเอียดอ่อนจากแอปพลิเคชัน PHP ได้

ช่องโหว่นี้เกิดจากการตรวจสอบข้อมูลอินพุต XML ที่ผู้ใช้จัดทำไม่เพียงพอ ผู้โจมตีสามารถใช้ประโยชน์จากสิ่งนี้ได้โดยการส่งไฟล์ XML ที่สร้างขึ้นเป็นพิเศษไปยังแอปพลิเคชัน โค้ดจะถูกวิเคราะห์โดยแอปพลิเคชันและผู้โจมตีอาจเข้าถึงข้อมูลที่ละเอียดอ่อน เช่น เนื้อหาของไฟล์ในระบบหรือผลลัพธ์ของการร้องขอภายนอก

อันตรายก็คือแอปพลิเคชัน ไลบรารี และเซิร์ฟเวอร์ใดๆ ที่วิเคราะห์หรือโต้ตอบกับเอกสาร XML จะเสี่ยงต่อช่องโหว่นี้

Ngôn ngữ PHP bị phát hiện thêm 2 lỗ hổng bảo mật - Ảnh 1. — เนื่องจาก PHP เป็นภาษาการเขียนโปรแกรมยอดนิยมในปัจจุบัน ข้อบกพร่องด้านความปลอดภัยจึงถือว่าร้ายแรง

ในขณะเดียวกัน CVE-2023-3824 ยังเป็นช่องโหว่บัฟเฟอร์โอเวอร์โฟลว์ที่มีคะแนน CVSS เท่ากับ 9.4 ซึ่งช่วยให้ผู้โจมตีจากระยะไกลสามารถรันโค้ดตามอำเภอใจบนระบบที่ใช้ PHP ได้ ช่องโหว่นี้เกิดจากฟังก์ชันใน PHP ที่ทำการตรวจสอบขอบเขตที่ไม่เหมาะสม ผู้โจมตีสามารถใช้ประโยชน์จากสิ่งนี้ได้โดยการส่งคำขอที่สร้างขึ้นเป็นพิเศษไปยังแอปพลิเคชัน ซึ่งอาจทำให้เกิดบัฟเฟอร์ล้นและช่วยให้สามารถควบคุมระบบเพื่อรันโค้ดตามอำเภอใจได้

เนื่องจากความอันตรายดังกล่าว ขอแนะนำให้ผู้ใช้ทำการอัปเดตระบบเป็น PHP เวอร์ชัน 8.0.30 โดยเร็วที่สุด นอกจากนี้ ควรดำเนินการเพื่อปกป้องแอปพลิเคชัน PHP จากการโจมตี เช่น การตรวจสอบอินพุตของผู้ใช้ทั้งหมดและการใช้ไฟร์วอลล์แอปพลิเคชันเว็บ (WAF)

ลิงค์ที่มา