mbfl_filt_conv_big5_wchar में ग्लोबल बफर-ओवरफ्लो

CVE-2020-7060 PHP के संस्करण 7.2.x 7.2.27 से पहले, 7.3.x 7.3.14 से पहले और 7.4.x 7.4.2 से पहले को प्रभावित करता है। यह एक बफर ओवर-रीड भेद्यता (buffer over-read vulnerability) है जो तब होती है जब मल्टीबाइट एन्कोडिंग को बदलने के लिए कुछ mbstring फ़ंक्शन का उपयोग किया जाता है। विशेष रूप से, mbflfiltconvbig5wchar फ़ंक्शन को दुर्भावनापूर्ण डेटा प्रदान किए जाने पर आवंटित बफर से बाहर पढ़ने के लिए बरगलाया जा सकता है। इससे जानकारी का खुलासा (मेमोरी से संवेदनशील डेटा पढ़ा जा रहा है) या एप्लिकेशन क्रैश हो सकता है। जोखिम मध्यम है, CVSS स्कोर 6.5 के साथ। इस जोखिम को कम करने के लिए, पैच किए गए PHP संस्करण में अपडेट करना महत्वपूर्ण है।

Web applications utilizing PHP versions 7.2.0–7.2.26, 7.3.0–7.3.13, and 7.4.0–7.4.1 are at risk. This includes websites, web services, and any application relying on PHP for processing user input or handling multibyte character encodings. Shared hosting environments running vulnerable PHP versions are particularly susceptible.

• linux / server:

journalctl -u php7.4 -g "mbfl_filt_conv_big5_wchar" --since "1 week ago"

• php: Check PHP version: php -v • generic web: Inspect web server error logs for PHP crashes or memory allocation errors related to mbstring functions.

1. 2020-02-10Disclosure

   disclosure

1. आरक्षित2020-01-15
2. प्रकाशित2020-02-10
3. संशोधित2024-09-17
4. EPSS अद्यतन2026-04-02

CVE-2020-7060 को संबोधित करने का सबसे प्रभावी समाधान PHP के उस संस्करण में अपडेट करना है जिसमें फिक्स शामिल है। इसका मतलब PHP 7.2.27 या बाद में, PHP 7.3.14 या बाद में, या PHP 7.4.2 या बाद में अपग्रेड करना है। यदि तत्काल अपडेट संभव नहीं है, तो अपने स्रोत कोड की समीक्षा करें ताकि इस दोष के प्रति संवेदनशील हो सकने वाले mbstring फ़ंक्शन के उपयोग की पहचान और समाप्त किया जा सके। इसके अतिरिक्त, हमले की सतह को कम करने के लिए उपयोगकर्ता इनपुट सत्यापन और सफाई जैसे सुरक्षा सर्वोत्तम प्रथाओं को लागू करें। अपडेट करना सबसे अच्छी प्रथा है और इसे प्राथमिकता दी जानी चाहिए।