Terminación de byte nulo en nombres de host

Esta vulnerabilidad permite a un atacante, a través de la manipulación de la entrada de hostname en funciones como fsockopen(), influir en el comportamiento de otras funciones como parse_url(). Esto podría permitir a un atacante eludir controles de acceso o realizar acciones no autorizadas en el sistema. Aunque la severidad es clasificada como baja, la amplia adopción de PHP y la posibilidad de explotación en aplicaciones web hacen que esta vulnerabilidad sea un riesgo significativo. La falta de validación abre la puerta a la inyección de caracteres que pueden alterar la interpretación de la URL, potencialmente permitiendo el acceso a recursos protegidos o la ejecución de código malicioso si la aplicación no implementa validaciones adicionales.

Applications built using PHP that rely on user-supplied hostnames for access control or resource identification are at risk. This includes web applications that connect to external services or databases using dynamically constructed URLs. Legacy PHP applications with outdated security practices are particularly vulnerable.

• php: Examine PHP application code for instances of fsockopen() and parse_url() where hostnames are used without proper validation. Look for patterns where user-supplied input is directly passed to these functions.

// Example of vulnerable code
$hostname = $_GET['hostname'];
$url = parse_url('http://' . $hostname);
$ip = $url['host'];

• linux / server: Monitor PHP error logs (typically in /var/log/php_errors.log) for errors related to URL parsing or hostname resolution. Use journalctl -u php-fpm to filter for relevant errors. • generic web: Use curl to test endpoints that accept hostnames as parameters. Attempt to inject null characters into the hostname and observe the response. curl -H "Host: example.com%00" http://your-application/

1. 2025-07-13Disclosure

   disclosure

1. Reservado2025-02-11
2. Publicada2025-07-13
3. Modificada2025-11-04
4. EPSS actualizado2026-04-02

La mitigación principal para esta vulnerabilidad es actualizar a la versión corregida de PHP, 8.4.10 o superior. Si la actualización inmediata no es posible, se recomienda revisar el código de la aplicación para identificar y validar correctamente las entradas de hostname antes de utilizarlas en funciones como fsockopen() y parseurl(). Implementar una validación estricta de los caracteres permitidos en los hostnames puede ayudar a prevenir la explotación. Se recomienda también revisar las configuraciones del servidor web para asegurar que no se están exponiendo endpoints vulnerables. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que las funciones fsockopen() y parseurl() validan correctamente los hostnames.