होस्टनाम में नल बाइट टर्मिनेशन

इस भेद्यता का फायदा उठाकर, एक हमलावर मनमाने कोड को निष्पादित कर सकता है या संवेदनशील जानकारी तक पहुंच प्राप्त कर सकता है। हमलावर एक विशेष रूप से तैयार किया गया अनुरोध भेज सकता है जिसमें शून्य वर्ण युक्त होस्टनाम शामिल है। यह parse_url() को गलत तरीके से होस्टनाम को पार्स करने और संभावित रूप से अनपेक्षित व्यवहार करने का कारण बन सकता है। उदाहरण के लिए, एक हमलावर फ़ाइल सिस्टम तक पहुंच प्राप्त करने या डेटाबेस से जानकारी निकालने के लिए इस भेद्यता का उपयोग कर सकता है। इस भेद्यता का उपयोग अन्य सुरक्षा भेद्यताओं के साथ मिलकर सिस्टम पर पूर्ण नियंत्रण प्राप्त करने के लिए भी किया जा सकता है।

Applications built using PHP that rely on user-supplied hostnames for access control or resource identification are at risk. This includes web applications that connect to external services or databases using dynamically constructed URLs. Legacy PHP applications with outdated security practices are particularly vulnerable.

• php: Examine PHP application code for instances of fsockopen() and parse_url() where hostnames are used without proper validation. Look for patterns where user-supplied input is directly passed to these functions.

// Example of vulnerable code
$hostname = $_GET['hostname'];
$url = parse_url('http://' . $hostname);
$ip = $url['host'];

• linux / server: Monitor PHP error logs (typically in /var/log/php_errors.log) for errors related to URL parsing or hostname resolution. Use journalctl -u php-fpm to filter for relevant errors. • generic web: Use curl to test endpoints that accept hostnames as parameters. Attempt to inject null characters into the hostname and observe the response. curl -H "Host: example.com%00" http://your-application/

1. 2025-07-13Disclosure

   disclosure

1. आरक्षित2025-02-11
2. प्रकाशित2025-07-13
3. संशोधित2025-11-04
4. EPSS अद्यतन2026-04-02

CVE-2025-1220 को कम करने के लिए, PHP को संस्करण 8.4.10 या उच्चतर में अपग्रेड करना आवश्यक है। यदि अपग्रेड करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, इनपुट सत्यापन को लागू किया जा सकता है ताकि यह सुनिश्चित किया जा सके कि होस्टनाम में शून्य वर्ण शामिल नहीं हैं। इसके अतिरिक्त, वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके दुर्भावनापूर्ण अनुरोधों को ब्लॉक किया जा सकता है। यह सुनिश्चित करें कि सभी PHP निर्भरताएँ भी नवीनतम संस्करण में अपडेट की गई हैं। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, फ़ंक्शन fsockopen() के साथ शून्य वर्ण युक्त होस्टनाम का उपयोग करके परीक्षण करें।