Null byte terminatie in hostnamen

Deze kwetsbaarheid stelt een aanvaller in staat om, door een speciaal geconstrueerde hostname met null-bytes te injecteren, parse_url() te misleiden. Dit kan leiden tot onverwachte resultaten bij het parsen van URL's, wat vervolgens kan worden misbruikt om toegang te krijgen tot gevoelige informatie of om andere ongewenste acties uit te voeren. De impact is afhankelijk van hoe de applicatie de URL's gebruikt en valideert. Een succesvolle exploit kan leiden tot data-exfiltratie of zelfs code-uitvoering, afhankelijk van de context.

Applications built using PHP that rely on user-supplied hostnames for access control or resource identification are at risk. This includes web applications that connect to external services or databases using dynamically constructed URLs. Legacy PHP applications with outdated security practices are particularly vulnerable.

• php: Examine PHP application code for instances of fsockopen() and parse_url() where hostnames are used without proper validation. Look for patterns where user-supplied input is directly passed to these functions.

// Example of vulnerable code
$hostname = $_GET['hostname'];
$url = parse_url('http://' . $hostname);
$ip = $url['host'];

• linux / server: Monitor PHP error logs (typically in /var/log/php_errors.log) for errors related to URL parsing or hostname resolution. Use journalctl -u php-fpm to filter for relevant errors. • generic web: Use curl to test endpoints that accept hostnames as parameters. Attempt to inject null characters into the hostname and observe the response. curl -H "Host: example.com%00" http://your-application/

1. 2025-07-13Disclosure

   disclosure

1. Gereserveerd2025-02-11
2. Gepubliceerd2025-07-13
3. Gewijzigd2025-11-04
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie is het upgraden naar PHP versie 8.4.10 of hoger, waarin de kwetsbaarheid is verholpen. Indien een upgrade niet direct mogelijk is, kan een tijdelijke workaround bestaan uit het implementeren van strenge validatie van hostnamen in de applicatiecode, voorafgaand aan het gebruik van functies zoals fsockopen() en parse_url(). Controleer de hostname op null-bytes en andere ongeldige karakters. Daarnaast is het raadzaam om de configuratie van de webserver te controleren op onnodige permissies.