CVE-2024-11236

PHP: integer overflow w ldap_escape() prowadzący do out-of-bounds write

CVSS 9.8v3.1pub. 2024-11-24upd. 2025-11-03

Podatność w funkcji ldap_escape() w PHP na systemach 32-bitowych pozwala na przepełnienie liczby całkowitej (integer overflow) przy przetwarzaniu zbyt długich ciągów wejściowych, co skutkuje zapisem poza granicami bufora (out-of-bounds write). Błąd otrzymał ocenę CVSS 9.8, co klasyfikuje go jako krytyczny.

▸ Pokaż oryginał (EN)

In PHP versions 8.1.* before 8.1.31, 8.2.* before 8.2.26, 8.3.* before 8.3.14, uncontrolled long string inputs to ldap_escape() function on 32-bit systems can cause an integer overflow, resulting in an out-of-bounds write.

🤖 Analiza AI

Jak działa

Funkcja ldap_escape() nie kontroluje prawidłowo długości przekazywanych ciągów wejściowych na systemach 32-bitowych. Gdy atakujący dostarczy odpowiednio długi ciąg znaków, dochodzi do przepełnienia zmiennej całkowitej (CWE-190), co powoduje błędne obliczenie rozmiaru bufora. W konsekwencji zapis danych odbywa się poza przydzielonym obszarem pamięci (CWE-787, out-of-bounds write), co może prowadzić do uszkodzenia sterty lub stosu procesu.

Skutki

Atakujący może zdalnie, bez uwierzytelnienia, doprowadzić do wykonania arbitralnego kodu (RCE), ujawnienia poufnych danych lub odmowy usługi (crash aplikacji). Pełna triada CIA jest zagrożona, co potwierdza maksymalny wynik CVSS dla składowych C/I/A.

Mitygacja

Należy zaktualizować PHP do wersji 8.1.31, 8.2.26 lub 8.3.14 (odpowiednio do używanej gałęzi). Dostępne są również patche dla dystrybucji Debian (komunikat debian-lts-announce z grudnia 2024). Do czasu aktualizacji należy rozważyć ograniczenie długości danych wejściowych przekazywanych do ldap_escape() na poziomie aplikacji lub filtrowanie ich przed przetworzeniem.

Kogo dotyczy

PHP w wersjach 8.1.x przed 8.1.31, 8.2.x przed 8.2.26 oraz 8.3.x przed 8.3.14, działające na systemach 32-bitowych i korzystające z funkcji ldap_escape().

Uwagi

Podatność dotyczy wyłącznie platform 32-bitowych. Na systemach 64-bitowych integer overflow w tym kontekście nie występuje. Poprawka opisana jest w GitHub Security Advisory GHSA-5hqh-c84r-qjcv.