CVE-2019-11049是一个PHP Windows平台上的双重释放漏洞。当使用mail()函数并以小写形式提供自定义标头时，由于特定提交中的错误，可能导致某些内存位置被双重释放，从而可能导致程序崩溃或潜在的安全问题。此漏洞影响PHP 7.3.0到7.4.1版本。该问题已在PHP 7.4.1版本中得到修复。
CVE-2019-11049 影响 PHP 7.3.x 系列版本低于 7.3.13 以及 Windows 上的 7.4.0 版本。当向 mail() 函数提供自定义标头，且这些标头以小写形式提供时，会发生此问题。提交 78f4b4a2dcf92ddbccea1bb95f8390a18ac3342e 中引入的代码错误可能导致内存的双重释放，从而可能导致应用程序崩溃或恶意代码执行。该漏洞的严重程度在 CVSS 量表上评为 6.5。由于 PHP 在该操作系统上处理标头的方式，因此该漏洞是 Windows 特有的。如果 Web 应用程序使用 mail() 函数发送电子邮件，并允许用户控制标头的内容，则风险会增加。
此漏洞是通过 PHP 的 mail() 函数发送包含小写自定义标头的电子邮件来利用的。攻击者可以操纵标头以导致内存的双重释放，从而可能允许在服务器上执行任意代码。由于该漏洞是 Windows 特有的，因此基于 Linux 的系统不受影响。利用的可能性取决于 Web 应用程序是否允许用户控制电子邮件标头的内容。缺乏 KEV 表明利用是复杂的，需要对 PHP 的内部工作原理有深入的了解。
漏洞利用状态
EPSS
2.80% (86% 百分位)
CVSS 向量
减轻 CVE-2019-11049 的方法是升级到已修复漏洞的 PHP 版本。具体来说，建议升级到 PHP 7.3.13 或更高版本，或 PHP 7.4.1 或更高版本。此外，请检查您的应用程序代码，以确保自定义标头未以不安全的方式使用。如果无法立即升级，请实施输入验证，以确保自定义标头以安全格式发送。但是，这并非完整的解决方案，升级是最推荐的措施。此漏洞没有可用的 KEV（内核漏洞利用漏洞），这意味着没有已知的公开漏洞，但应用修复对于防止未来攻击至关重要。
Actualice a PHP versión 7.3.13 o superior, o a la versión 7.4.1 o superior. Esto corrige la vulnerabilidad de doble liberación de memoria al usar la función mail() con encabezados personalizados en minúsculas en Windows.
漏洞分析和关键警报直接发送到您的邮箱。
PHP 7.3.x 系列版本低于 7.3.13 以及 Windows 上的 7.4.0 版本会受到影响。
检查您服务器上安装的 PHP 版本。如果是易受攻击的版本，请升级到已修复的版本。
是的，版本 7.3.13 和 7.4.1 或更高版本包含此漏洞的修复程序。
实施输入验证，以确保自定义标头以安全格式发送。但是，这并非完整的解决方案。
虽然没有已知的公开漏洞，但建议应用修复程序以防止未来攻击。