Multiples vulnérabilités dans PHP

Date de publication :

Ubuntu a publié un bulletin annonçant la correction de plusieurs vulnérabilités PHP qui permettent une fuite d’informations sensibles ou un déni de service. 

CVE-2019-11046 [Score CVSS v3 : 7.5] : Les fonctions de l'extension PHP bcmath, qui est disponible pour plusieurs systèmes d’exploitation dont Windows, peuvent être utilisées pour la lecture au-delà de l’espace mémoire alloué. 

Un attaquant distant pourrait exploiter cette vulnérabilité en fournissant une chaine de caractère contenant des caractères qui sont identifiés comme numériques par le système d'exploitation mais qui ne sont pas des nombres ASCII.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risque

  • Fuite d’informations sensibles.
  • Déni de service. 

Criticité

  • Score CVSS v3 : 7.5 Max 

Existence d’un code d‘exploitation

  • Aucun code d’exploitation n’est disponible

Composants vulnérables

  • Versions PHP 7.2.x inférieurs à 7.2.26
  • Versions PHP 7.3.x inférieurs à 7.3.13
  • Version PHP 7.4.0

CVE

Solutions ou recommandations

Mise en place de correctifs de sécurité

Ubuntu recommande la mise à jour vers les paquets suivants : 

Solution de contournement

  • Aucune solution de contournement n’est disponible

Liens