Plataforma
php
Componente
php
Corrigido em
7.3.13
7.4.1
CVE-2019-11049 é uma vulnerabilidade de double-free que afeta o PHP no Windows. Ao fornecer cabeçalhos personalizados em minúsculas para a função mail(), ocorre uma dupla liberação de memória. Isso pode levar à corrupção de memória e possível execução de código. As versões afetadas são PHP 7.3.0 até 7.3.13 e 7.4.0. A vulnerabilidade foi corrigida na versão 7.4.1.
A vulnerabilidade CVE-2019-11049 afeta as versões do PHP 7.3.x anteriores a 7.3.13 e a versão 7.4.0 no Windows. Ela ocorre quando cabeçalhos personalizados são fornecidos à função mail() e esses cabeçalhos são enviados em letras minúsculas. Um erro no código, introduzido no commit 78f4b4a2dcf92ddbccea1bb95f8390a18ac3342e, pode levar a uma dupla liberação de memória, o que pode resultar em falhas de aplicativos ou até mesmo na execução de código malicioso. A severidade desta vulnerabilidade é classificada como 6.5 na escala CVSS. A vulnerabilidade é específica do Windows devido à forma como o PHP lida com os cabeçalhos nesse sistema operacional. O risco aumenta se o aplicativo web usar a função mail() para enviar e-mails e permitir que os usuários controlem o conteúdo dos cabeçalhos.
Esta vulnerabilidade é explorada enviando um e-mail com cabeçalhos personalizados em letras minúsculas através da função mail() do PHP. Um atacante pode manipular os cabeçalhos para causar uma dupla liberação de memória, o que poderia permitir a execução de código arbitrário no servidor. Como a vulnerabilidade é específica do Windows, os sistemas baseados em Linux não são afetados. A probabilidade de exploração depende se o aplicativo web permite que os usuários controlem o conteúdo dos cabeçalhos de e-mail. A falta de um KEV indica que a exploração é complexa e requer um profundo conhecimento do funcionamento interno do PHP.
Status do Exploit
EPSS
2.80% (percentil 86%)
Vetor CVSS
A solução para mitigar o CVE-2019-11049 é atualizar para uma versão do PHP que tenha corrigido a vulnerabilidade. Especificamente, recomenda-se atualizar para o PHP 7.3.13 ou superior, ou para o PHP 7.4.1 ou superior. Além disso, revise o código do seu aplicativo para garantir que os cabeçalhos personalizados não estejam sendo usados de forma insegura. Se uma atualização imediata não for possível, implemente a validação de entrada para garantir que os cabeçalhos personalizados sejam enviados em um formato seguro, embora isso não seja uma solução completa e a atualização é a medida mais recomendada. Um KEV (Kernel Exploit Vulnerability) não está disponível para esta vulnerabilidade, o que significa que não existem exploits públicos conhecidos, mas é importante aplicar a correção para prevenir futuros ataques.
Actualice a PHP versión 7.3.13 o superior, o a la versión 7.4.1 o superior. Esto corrige la vulnerabilidad de doble liberación de memoria al usar la función mail() con encabezados personalizados en minúsculas en Windows.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
As versões do PHP 7.3.x anteriores a 7.3.13 e a versão 7.4.0 no Windows são vulneráveis.
Verifique a versão do PHP instalada em seu servidor. Se for uma versão vulnerável, atualize para uma versão corrigida.
Sim, as versões 7.3.13 e 7.4.1 ou superiores incluem a correção para esta vulnerabilidade.
Implemente a validação de entrada para garantir que os cabeçalhos personalizados sejam enviados em um formato seguro, embora isso não seja uma solução completa.
Embora não haja exploits públicos conhecidos, é recomendável aplicar a correção para prevenir futuros ataques.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.