Terminaison par octet nul dans les noms d'hôtes

Cette vulnérabilité de type Null Byte Injection permet à un attaquant d'injecter des caractères null dans les noms d'hôtes transmis à des fonctions telles que fsockopen(). En conséquence, la fonction parseurl() peut interpréter l'hôte de manière incorrecte, contournant potentiellement les contrôles d'accès mis en place par le code de l'application. Un attaquant pourrait ainsi accéder à des ressources non autorisées ou exécuter du code malveillant si le code de l'application utilise les informations renvoyées par parseurl() pour prendre des décisions de sécurité. Bien que la CVSS score soit faible, l'exploitation réussie pourrait compromettre la confidentialité et l'intégrité des données.

Applications built using PHP that rely on user-supplied hostnames for access control or resource identification are at risk. This includes web applications that connect to external services or databases using dynamically constructed URLs. Legacy PHP applications with outdated security practices are particularly vulnerable.

• php: Examine PHP application code for instances of fsockopen() and parse_url() where hostnames are used without proper validation. Look for patterns where user-supplied input is directly passed to these functions.

// Example of vulnerable code
$hostname = $_GET['hostname'];
$url = parse_url('http://' . $hostname);
$ip = $url['host'];

• linux / server: Monitor PHP error logs (typically in /var/log/php_errors.log) for errors related to URL parsing or hostname resolution. Use journalctl -u php-fpm to filter for relevant errors. • generic web: Use curl to test endpoints that accept hostnames as parameters. Attempt to inject null characters into the hostname and observe the response. curl -H "Host: example.com%00" http://your-application/

1. 2025-07-13Disclosure

   disclosure

1. Réservé2025-02-11
2. Publiée2025-07-13
3. Modifiée2025-11-04
4. EPSS mis à jour2026-04-02

La mitigation principale consiste à mettre à jour PHP vers la version 8.4.10 ou ultérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une solution de contournement temporaire consiste à valider rigoureusement les noms d'hôtes avant de les transmettre à fsockopen() et parse_url(). Assurez-vous que les noms d'hôtes ne contiennent pas de caractères null. L'utilisation d'un Web Application Firewall (WAF) peut également aider à bloquer les requêtes malveillantes contenant des caractères null. Surveillez les journaux d'accès et d'erreurs pour détecter toute activité suspecte.