🕵️ PHP bis 7.0.14/7.1.0 ext/wddx/wddx.c php_wddx_pop_element Denial of Service

🕛 Zeit seit Veröffentlichung: 2812 Tage, 4 Stunden 0 Minuten
📆 Veröffentlicht am: 24.01.2017 um 01:00 Uhr
Nachrichtenbereich: 🕵️ Sicherheitslücken
🔗 Quelle: vuldb.com

Eine Schwachstelle wurde in PHP bis 7.0.14/7.1.0 entdeckt. Sie wurde als problematisch eingestuft. Hierbei geht es um die Funktion php_wddx_pop_element der Datei ext/wddx/wddx.c. Durch die Manipulation mit einer unbekannten Eingabe kann eine Denial of Service-Schwachstelle (NULL Pointer Dereference) ausgenutzt werden. Auswirken tut sich dies auf die Verfügbarkeit.

Die Schwachstelle wurde am 24.01.2017 herausgegeben. Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2016-10162 gehandelt. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert keine spezifische Authentisierung. Zur Schwachstelle sind technische Details bekannt, ein verfügbarer Exploit jedoch nicht.

Ein Aktualisieren auf die Version 7.0.15 oder 7.1.1 vermag dieses Problem zu lösen.

Von weiterem Interesse können die folgenden Einträge sein: 95875, 95876, 95877 und 95878.

CVSSv3

Base Score: 5.3
Temp Score: 5.1
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L/E:X/RL:O/RC:X
Zuverlässigkeit: High

CVSSv2

Base Score: 4.3 (CVSS2#AV:N/AC:M/Au:N/C:N/I:N/A:P)
Temp Score: 3.7 (CVSS2#E:ND/RL:OF/RC:ND)
Zuverlässigkeit: High

CPE

• cpe:/a:php:php:7.0.14
• cpe:/a:php:php:7.1.0

Exploiting

Klasse: Denial of Service
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Preisentwicklung: gleichbleibend
Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden

Upgrade: PHP 7.0.15/7.1.1

Timeline

24.01.2017 Advisory veröffentlicht
25.01.2017 VulDB Eintrag erstellt
25.01.2017 VulDB letzte Aktualisierung

Quellen

CVE: CVE-2016-10162 (mitre.org) (nvd.nist.org) (cvedetails.com)
Siehe auch: 95875, 95876, 95877, 95878

Eintrag

Erstellt: 25.01.2017
Eintrag: 70.8% komplett
...