PHPの8.5.12などのセキュリティ更新を公開、リモートコード実行につながる脆弱性二件を修正(thephp.foundation)

- 今回のリリースは、PHPが動作するサーバーを外部の人間が操作できないようにするためのセキュリティ修正版です。PHPプロジェクトによると、8.5.12、8.4.27、8.3.36、8.2.35のバージョンは、特定の条件下で認証のない攻撃者がサーバー上でコードを実行できる脆弱性二件を修正します。 - 一つ目の脆弱性は、リクエストがメモリ使用上限(memory_limit)にちょうど達した瞬間に内部データが壊れる問題です。二つ目は、致命的エラーの後に以前のリクエストのメモリを再利用する問題です。原文では、Apache mod_php環境のデフォルト設定でリモートコード実行が実証されたと書かれています。 - 原文によると、一つ目の問題の兆候は2024年の外部監査で初めて現れましたが、当時は実際の攻撃経路は確認されていませんでした。その後、Calif、OpenAI、Wizなどの報告で影響範囲が明らかになり、8月から最優先の課題になりました。 - 10月 20日に脆弱性IDがフォーラムやSNSで先に漏えいしたため、PHP側は事前告知を早め、公開日を一日前倒ししました。あるセキュリティ企業が誤って実証動画を公開し、原文によると、Chainguardは公開前に修正を含むイメージを配布したとのことです。