Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
PHP <= 5.4.44 PHP <= 5.5.28 PHP <= 5.6.12 Betroffene Plattformen: Debian Linux 7.8 Wheezy Debian Linux 8.2 Jessie Mehrere Schwachstellen in PHP5 ermöglichen einem entfernten, nicht authentisierten Angreifer das Ausspähen von Informationen, das Durchführen von Denial-of-Service (DoS)-Angriffen und das Ausführen beliebigen Programmcodes. Die Entwickler von PHP haben für die Versionszweige 5.4, 5.5 und 5.6 von PHP am 3. September 2015 jeweils ein Sicherheitsupdate auf die Versionen 5.4.45, 5.5.29 und 5.6.13 zur Verfügung gestellt, um diese Schwachstellen zu beheben. Debian stellt für die Distributionen Wheezy (old stable) und Jessie (stable) Sicherheitsupdates auf PHP 5.4.45, bzw. PHP PHP 5.6.13 bereit. Patch: PHP Security Update PHP 5.4.45 http://php.net/archive/2015.php#id2015-09-04-4
Patch:
PHP Security Update PHP 5.5.29
http://php.net/archive/2015.php#id2015-09-04-3
Patch:
PHP Security Update PHP 5.6.13
http://php.net/archive/2015.php#id2015-09-04-2
Patch:
Debian Security Advisory DSA-3358-1
https://www.debian.org/security/2015/dsa-3358
CVE-2015-6837 CVE-2015-6838: Schwachstellen in PHP XSLTProcessor-Klasse
ermöglichen Denial-of-Service-Angriff
Die XSLT (Extensible Stylesheet Language Transformations)-Prozessor-Klasse
versäumt einige Prüfungen gegen Input seitens der “libxslt”-Bibliothek. Der
Funktionsaufruf der valuePop()-Funktion kann daraufhin einen Nullzeiger
zurückgeben (“NULL pointer dereference”), was wiederum von PHP nicht geprüft
wird. Ein entfernter, nicht authentisierten Angreifer kann diese
Schwachstellen ausnutzen, mittels eines präparierten Aufrufs, um einen
Denial-of-Service (DoS)-Zustand herbeizuführen (“NULL pointer dereference”
und Absturz der Anwendung).
CVE-2015-6836: Typ-Confusion-Schwachstelle in PHP SOAP-Erweiterung
ermöglicht Ausspähen von Informationen
Eine Schwachstelle besteht im SOAP-Serialisierungsfunktionsaufruf
(“serialize_function_call”) aufgrund einer unzureichenden Überprüfung von
Kopfzeilenfeldern (“header fields”). In der “__call”-Methode des
Soap-Clients, wird die “verify_soap_headers_array”-Prüfung nur auf
Kopfzeilen angewandt, die aus “zend_parse_parameters” gewonnen werden. Wenn
einige Zeilen darunter der Wert “soap_headers” aktualisiert oder sogar durch
Werte aus den “__default_headers”-Objektfeldern ersetzt wird, kann es zu
einer Typenverwechslung (“type confusion”) kommen. Ein entfernter, nicht
authentisierter Angreifer kann diese Schwachstelle ausnutzen, mittels eines
entsprechend präparierten SOAP-Aufrufs, um eine PHP-Anwendung Teile ihres
Speichers offenlegen zu lassen oder sie zum Absturz zu bringen
(Denial-of-Service).
CVE-2015-6835: Use-after-free-Schwachstelle in PHP ermöglicht Ausführen
beliebigen Programmcodes
Wenn der “Session Deserializer” (php/php_binary) viele Daten deserialisiert,
wird die Funktion php_var_unserialize() mehrfach aufgerufen. Wenn dabei
zunächst “ZVAL” erzeugt und anschließend mittels php_var_unserialize() der
Speicher wieder freigegeben wird, kann mit dem nächsten Aufruf der Funktion
php_var_unserialize() unter Verwendung von “R:” oder “r:” weiterhin eine
Referenz auf den eigentlich bereits freigegebenen Speicher gesetzt werden.
Ein entfernter, nicht authentisierter Angreifer kann diese Schwachstelle
ausnutzen, mittels einer präparierten serialisierten Zeichenfolge (“crafted
serialized string”), um beliebigen Programmcode zur Ausführung zu bringen.
CVE-2015-6834: Use-after-free-Schwachstelle in PHP ermöglicht Ausführen
beliebigen Programmcodes
In der Funktion unserialize() besteht eine Use-after-free-Schwachstelle,
unter anderem in Verbindung mit SplObjectStorage und SplDoublyLinkedList.
Bevor __wakeup() bewirkt, dass der für ZVAL reservierte Speicher
freigegeben wird, und während der Deserialisierung ist es weiterhin möglich
“R:” oder “r:” zu verwenden, um eine Referenz auf den eigentlich bereits
freigegeben Speicher zu setzen. Ein entfernter, nicht authentisierter
Angreifer kann diese Schwachstelle ausnutzen, um beliebigen Programmcode zur
Ausführung zu bringen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1407/
PHP Security Update PHP 5.4.45:
http://php.net/archive/2015.php#id2015-09-04-4
PHP Security Update PHP 5.5.29:
http://php.net/archive/2015.php#id2015-09-04-3
PHP Security Update PHP 5.6.13:
http://php.net/archive/2015.php#id2015-09-04-2
Schwachstelle CVE-2015-6834 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6834
Schwachstelle CVE-2015-6835 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6835
Schwachstelle CVE-2015-6836 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6836
Schwachstelle CVE-2015-6837 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6837
Schwachstelle CVE-2015-6838 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6838
Debian Security Advisory DSA-3358-1:
https://www.debian.org/security/2015/dsa-3358
PHP Change Log PHP 5.4.45:
https://secure.php.net/ChangeLog-5.php#5.4.45
PHP Change Log PHP 5.6.13:
https://secure.php.net/ChangeLog-5.php#5.6.13
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
