Terminação de byte nulo em nomes de host

A exploração bem-sucedida desta vulnerabilidade pode permitir que um atacante manipule o hostname usado por funções como parse_url(), potencialmente levando a problemas de segurança. Um atacante poderia injetar caracteres nulos em um hostname, fazendo com que o PHP interprete o hostname de forma diferente do esperado. Isso pode levar a acesso não autorizado a recursos, execução de código malicioso ou outras ações não autorizadas, dependendo de como o código da aplicação utiliza essas funções. Embora a severidade seja classificada como baixa, a ampla utilização do PHP em diversas aplicações web torna essa vulnerabilidade um risco significativo, especialmente em ambientes onde a entrada do usuário não é devidamente validada.

Applications built using PHP that rely on user-supplied hostnames for access control or resource identification are at risk. This includes web applications that connect to external services or databases using dynamically constructed URLs. Legacy PHP applications with outdated security practices are particularly vulnerable.

• php: Examine PHP application code for instances of fsockopen() and parse_url() where hostnames are used without proper validation. Look for patterns where user-supplied input is directly passed to these functions.

// Example of vulnerable code
$hostname = $_GET['hostname'];
$url = parse_url('http://' . $hostname);
$ip = $url['host'];

• linux / server: Monitor PHP error logs (typically in /var/log/php_errors.log) for errors related to URL parsing or hostname resolution. Use journalctl -u php-fpm to filter for relevant errors. • generic web: Use curl to test endpoints that accept hostnames as parameters. Attempt to inject null characters into the hostname and observe the response. curl -H "Host: example.com%00" http://your-application/

1. 2025-07-13Disclosure

   disclosure

1. Reservado2025-02-11
2. Publicada2025-07-13
3. Modificada2025-11-04
4. EPSS atualizado2026-04-02

A mitigação primária para CVE-2025-1220 é atualizar para a versão corrigida do PHP (8.4.10 ou superior). Se a atualização imediata não for possível, considere implementar medidas de validação de entrada mais rigorosas no código da aplicação para garantir que os hostnames fornecidos não contenham caracteres nulos. Em alguns casos, pode ser possível implementar um filtro de entrada personalizado para remover ou escapar caracteres nulos antes de passá-los para as funções vulneráveis. Além disso, monitore os logs do servidor em busca de atividades suspeitas relacionadas a manipulação de hostname. Após a atualização, confirme a correção executando testes de segurança para verificar se a vulnerabilidade foi efetivamente mitigada.