CVE-2024-4577

KritikAktif istismar ediliyor (CISA KEV)Fidye saldırılarında kullanıldığı biliniyor

Açıklama

PHP'nin 8.1.29 öncesindeki 8.1.*, 8.2.20 öncesindeki 8.2.* ve 8.3.8 öncesindeki 8.3.* sürümlerinde, Windows üzerinde Apache ve PHP-CGI kullanıldığında, sistem belirli kod sayfalarını kullanacak şekilde yapılandırılmışsa, Windows Win32 API fonksiyonlarına verilen komut satırındaki karakterleri değiştirmek için "Best-Fit" davranışını kullanabilir. PHP CGI modülü bu karakterleri PHP seçenekleri olarak yanlış yorumlayabilir; bu durum kötü niyetli bir kullanıcının çalışan PHP ikili dosyasına seçenekler iletmesine ve böylece betiklerin kaynak kodunu açığa çıkarmasına, sunucuda rastgele PHP kodu çalıştırmasına vb. olanak tanıyabilir.

ÖnemKritik

CVSS9.8

İstismar olasılığı—

Ürün

PHP Group PHP

Yayın9 Haz 2024

İlk görülme9 Haz 2024

KEV'e eklenme12 Haz 2024

Zayıflık türüCWE-78İşletim sistemi komut enjeksiyonu

Nasıl düzeltilir

CISA'nın istediği eylem

Üreticinin önerdiği önlemleri uygulayın. Önlem yoksa ürünü kullanmayı bırakın.

CISA son tarihi: 3 Tem 2024

Güncelleyin

php php8.1.29, 8.2.20, 8.3.8 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
php php	8.1.0 ≤ v < 8.1.29, 8.2.0 ≤ v < 8.2.20, 8.3.0 ≤ v < 8.3.8	8.1.29, 8.2.20, 8.3.8
fedoraproject fedora	39, 40	—

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.