ホスト名におけるヌルバイト終端

この脆弱性は、攻撃者がnull文字を含むホスト名を指定することで、parseurl()関数に誤った情報を与え、予期せぬ動作を引き起こす可能性があります。これにより、アプリケーションのアクセス制御をバイパスしたり、機密情報を漏洩させたりするリスクがあります。例えば、ユーザーが入力したホスト名を検証せずにparseurl()関数を使用している場合、攻撃者はnull文字を挿入することで、意図しないリソースにアクセスできる可能性があります。この脆弱性は、PHPアプリケーションのセキュリティを著しく損なう可能性があります。

Applications built using PHP that rely on user-supplied hostnames for access control or resource identification are at risk. This includes web applications that connect to external services or databases using dynamically constructed URLs. Legacy PHP applications with outdated security practices are particularly vulnerable.

• php: Examine PHP application code for instances of fsockopen() and parse_url() where hostnames are used without proper validation. Look for patterns where user-supplied input is directly passed to these functions.

// Example of vulnerable code
$hostname = $_GET['hostname'];
$url = parse_url('http://' . $hostname);
$ip = $url['host'];

• linux / server: Monitor PHP error logs (typically in /var/log/php_errors.log) for errors related to URL parsing or hostname resolution. Use journalctl -u php-fpm to filter for relevant errors. • generic web: Use curl to test endpoints that accept hostnames as parameters. Attempt to inject null characters into the hostname and observe the response. curl -H "Host: example.com%00" http://your-application/

1. 2025-07-13Disclosure

   disclosure

1. 予約済み2025-02-11
2. 公開日2025-07-13
3. 更新日2025-11-04
4. EPSS 更新日2026-04-02

この脆弱性への対応策として、まずPHPをバージョン8.4.10以降にアップデートすることを推奨します。アップデートが困難な場合は、ユーザーからのホスト名入力を厳密に検証し、null文字が含まれていないことを確認する入力検証を実装してください。また、WAF（Web Application Firewall）を導入し、null文字を含むホスト名に対するリクエストをブロックするルールを設定することも有効です。PHPのコードレビューを実施し、parse_url()関数を使用する箇所で適切な検証が行われているか確認することも重要です。アップデート後、アプリケーションの動作をテストし、問題がないことを確認してください。