🕵️ PHP bis 5.6.24/7.0.9 ext/wddx/wddx.c Denial of Service

🕛 Zeit seit Veröffentlichung: 2946 Tage, 2 Stunden 52 Minuten
📆 Veröffentlicht am: 12.09.2016 um 02:00 Uhr
Nachrichtenbereich: 🕵️ Sicherheitslücken
🔗 Quelle: vuldb.com

In PHP bis 5.6.24/7.0.9 wurde eine problematische Schwachstelle ausgemacht. Das betrifft eine unbekannte Funktion der Datei ext/wddx/wddx.c. Durch die Manipulation mit einer unbekannten Eingabe kann eine Denial of Service-Schwachstelle (NULL Pointer Dereference) ausgenutzt werden. Auswirkungen hat dies auf die Verfügbarkeit.

Die Schwachstelle wurde am 12.09.2016 öffentlich gemacht. Die Verwundbarkeit wird als CVE-2016-7132 geführt. Der Angriff kann über das Netzwerk angegangen werden. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht. Ein Exploit zur Schwachstelle wird momentan etwa USD $2k-$5k kosten.

Ein Aktualisieren auf die Version 5.6.25 oder 7.0.10 vermag dieses Problem zu lösen.

Mit dieser Schwachstelle verwandte Einträge finden sich unter 91497, 91498, 91499 und 91500.

CVSSv3

Base Score: 5.3 [?]
Temp Score: 5.1 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L/E:X/RL:O/RC:X [?]
Zuverlässigkeit: Medium

CVSSv2

Base Score: 4.3 (CVSS2#AV:N/AC:M/Au:N/C:N/I:N/A:P) [?]
Temp Score: 3.7 (CVSS2#E:ND/RL:OF/RC:ND) [?]
Zuverlässigkeit: Medium

CPE

• cpe:/a:php:php:5.6.24
• cpe:/a:php:php:7.0.9

Exploiting

Klasse: Denial of Service
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $0-$1k (0-day) / $0-$1k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden

Upgrade: PHP 5.6.25/7.0.10

Timeline

12.09.2016 Advisory veröffentlicht
12.09.2016 VulDB Eintrag erstellt
12.09.2016 VulDB letzte Aktualisierung

Quellen

CVE: CVE-2016-7132 (mitre.org) (nvd.nist.org) (cvedetails.com)
Siehe auch: 91497, 91498, 91499, 91500, 91502, 91503

Eintrag

Erstellt: 12.09.2016
Eintrag: 71.2% komplett
...