🕵️ PHP bis 5.6.24/7.0.9 ext/wddx/wddx.c Denial of Service

🕛 Zeit seit Veröffentlichung: 2935 Tage, 14 Stunden 36 Minuten
📆 Veröffentlicht am: 12.09.2016 um 02:00 Uhr
Nachrichtenbereich: 🕵️ Sicherheitslücken
🔗 Quelle: vuldb.com

Es wurde eine problematische Schwachstelle in PHP bis 5.6.24/7.0.9 ausgemacht. Es betrifft eine unbekannte Funktion der Datei ext/wddx/wddx.c. Mit der Manipulation mit einer unbekannten Eingabe kann eine Denial of Service-Schwachstelle (NULL Pointer Dereference) ausgenutzt werden. Mit Auswirkungen muss man rechnen für die Verfügbarkeit.

Die Schwachstelle wurde am 12.09.2016 publik gemacht. Die Verwundbarkeit wird unter CVE-2016-7131 geführt. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind zwar technische Details, jedoch kein verfügbarer Exploit zur Schwachstelle bekannt. Es muss davon ausgegangen werden, dass ein Exploit zur Zeit etwa USD $2k-$5k kostet.

Ein Upgrade auf die Version 5.6.25 oder 7.0.10 vermag dieses Problem zu beheben.

Schwachstellen ähnlicher Art sind dokumentiert unter 91496, 91497, 91498 und 91499.

CVSSv3

Base Score: 5.3 [?]
Temp Score: 5.1 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L/E:X/RL:O/RC:X [?]
Zuverlässigkeit: Medium

CVSSv2

Base Score: 4.3 (CVSS2#AV:N/AC:M/Au:N/C:N/I:N/A:P) [?]
Temp Score: 3.7 (CVSS2#E:ND/RL:OF/RC:ND) [?]
Zuverlässigkeit: Medium

CPE

• cpe:/a:php:php:5.6.24
• cpe:/a:php:php:7.0.9

Exploiting

Klasse: Denial of Service
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $0-$1k (0-day) / $0-$1k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden

Upgrade: PHP 5.6.25/7.0.10

Timeline

12.09.2016 Advisory veröffentlicht
12.09.2016 VulDB Eintrag erstellt
12.09.2016 VulDB letzte Aktualisierung

Quellen

CVE: CVE-2016-7131 (mitre.org) (nvd.nist.org) (cvedetails.com)
Siehe auch: 91496, 91497, 91498, 91499, 91501, 91502, 91503

Eintrag

Erstellt: 12.09.2016
Eintrag: 71.2% komplett
...