BDU:2022-05351 (CVE-2022-31625)

Уязвимость функции pg_query_params() интерпретатора языка программирования PHP, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2022-08-29

Описание

Уязвимость функции pg_query_params() интерпретатора языка программирования PHP связана с ошибкой использования неинициализированного массива. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Затрагиваемое ПО и версии

Ubuntu (18.04 LTS)Astra Linux Special Edition (1.6 «Смоленск»)SUSE Linux Enterprise Server for SAP Applications (12 SP3)SUSE Linux Enterprise Server for SAP Applications (12 SP4)Suse Linux Enterprise Server (12 SP3)Suse Linux Enterprise Server (12 SP4)Red Hat Enterprise Linux (8)SUSE Linux Enterprise Server for SAP Applications (15)SUSE Linux Enterprise Server for SAP Applications (15 SP1)Suse Linux Enterprise Server (12 SP5)SUSE Linux Enterprise Server for SAP Applications (12 SP5)Debian GNU/Linux (10)Red Hat Software CollectionsSuse Linux Enterprise Server (15-LTSS)SUSE Linux Enterprise Server for SAP Applications (12)Ubuntu (20.04 LTS)Suse Linux Enterprise Server (15 SP1-BCL)Suse Linux Enterprise Server (15 SP1-LTSS)Ubuntu (16.04 ESM)OpenSUSE Leap (15.3)Debian GNU/Linux (11)Fedora (35)Ubuntu (21.10)Suse Linux Enterprise Server (12)РЕД ОС (7.3)Astra Linux Special Edition (1.7)OpenSUSE Leap (15.4)Suse Linux Enterprise Server (15 SP3)SUSE Linux Enterprise Server for SAP Applications (15 SP3)SUSE Linux Enterprise Server for SAP Applications (15 SP2)

Способ устранения

Использование рекомендаций:
Для PHP:
https://bugs.php.net/bug.php?id=81720

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-31625

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2022-31625

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ZZTZQKRGEYJT5UB4FGG3MOE72SQUHSL4/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/3T4MMEEZYYAEHPQMZDFN44PHORJWJFZQ/

Для РЕД ОС:
https://redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-php-cve-2021-21708-cve-2022-31625-cve-2021-21702-cve-2021-21705-cve-2021-/
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Ubuntu:
https://ubuntu.com/security/CVE-2022-31625
https://ubuntu.com/security/notices/USN-5479-1
https://ubuntu.com/security/notices/USN-5479-2
https://ubuntu.com/security/notices/USN-5479-3

Для ОС Альт 8 СП:
установка обновления из публичного репозитория программного средства

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2022-31625.html

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения php7.3 до версии 7.3.31-1~deb10u1osnovau3

Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD

Для Astra Linux Special Edition для архитектуры ARM для 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0316SE47MD

Для Astra Linux Special Edition 1.6 «Смоленск»::
обновить пакет php7.0 до 7.0.33-0+deb9u17+ci202405231632+astra3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16

Оценка CVSS

Балл	10 — критическая опасность

Источники и патчи

https://bugs.php.net/bug.php?id=81720 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ZZTZQKRGEYJT5UB4FGG3MOE72SQUHSL4/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/3T4MMEEZYYAEHPQMZDFN44PHORJWJFZQ/https://access.redhat.com/security/cve/CVE-2022-31625 https://security-tracker.debian.org/tracker/CVE-2022-31625 https://redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-php-cve-2021-21708-cve-2022-31625-cve-2021-21702-cve-2021-21705-cve-2021-/https://security.netapp.com/advisory/ntap-20220722-0005/http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Проверьте безопасность своего сайта и почты → Полная проверка домена