BDU:2024-05512 (CVE-2024-5585)

Уязвимость функции proc_open() интерпретатора языка программирования PHP, позволяющая нарушителю выполнить произвольные команды

Опубликовано: 2024-07-22

Описание

Уязвимость функции proc_open() интерпретатора языка программирования PHP существует из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольные команды

Затрагиваемое ПО и версии

Debian GNU/Linux (11)Debian GNU/Linux (12)РЕД ОС (7.3)Fedora (39)Fedora (40)PHP (от 8.1.0 до 8.1.29)PHP (от 8.2.0 до 8.2.20)PHP (от 8.3.0 до 8.3.8)

Способ устранения

Использование рекомендаций:
Для PHP:
https://www.php.net/ChangeLog-8.php

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PKGTQUOA2NTZ3RXN22CSAUJPIRUYRB4B/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/W45DBOH56NQDRTOM2DN2LNA2FZIMC3PK/

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2024-5585

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Оценка CVSS

Балл	9 — высокая опасность

Источники и патчи

http://www.openwall.com/lists/oss-security/2024/06/07/1 https://github.com/php/php-src/security/advisories/GHSA-9fcc-425m-g385 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PKGTQUOA2NTZ3RXN22CSAUJPIRUYRB4B/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/W45DBOH56NQDRTOM2DN2LNA2FZIMC3PK/https://10.5.1.10/entities/vulnerability/318425 https://security-tracker.debian.org/tracker/CVE-2024-5585 http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Проверьте безопасность своего сайта и почты → Полная проверка домена