CVE-2020-7060：PHP mbstring缓冲区溢出漏洞（7.2.0-7.4.2）

CVE-2020-7060 影响 PHP 7.2.x 版本低于 7.2.27、7.3.x 版本低于 7.3.14 以及 7.4.x 版本低于 7.4.2。这是一种缓冲区读取漏洞（buffer over-read vulnerability），当使用某些 mbstring 函数转换多字节编码时会发生。具体来说，mbflfiltconvbig5wchar 函数在接收到恶意数据时，可能会被欺骗读取分配缓冲区之外的数据。这可能导致信息泄露（内存中读取敏感数据）或应用程序崩溃。风险等级为中等，CVSS 评分达到 6.5。为了减轻这种风险，必须将 PHP 更新到已修复的版本。

Web applications utilizing PHP versions 7.2.0–7.2.26, 7.3.0–7.3.13, and 7.4.0–7.4.1 are at risk. This includes websites, web services, and any application relying on PHP for processing user input or handling multibyte character encodings. Shared hosting environments running vulnerable PHP versions are particularly susceptible.

• linux / server:

journalctl -u php7.4 -g "mbfl_filt_conv_big5_wchar" --since "1 week ago"

• php: Check PHP version: php -v • generic web: Inspect web server error logs for PHP crashes or memory allocation errors related to mbstring functions.

1. 2020-02-10Disclosure

   disclosure

1. 已保留2020-01-15
2. 发布日期2020-02-10
3. 修改日期2024-09-17
4. EPSS 更新日期2026-04-02

解决 CVE-2020-7060 最有效的解决方案是将 PHP 更新到包含修复程序的版本。这意味着升级到 PHP 7.2.27 或更高版本、PHP 7.3.14 或更高版本或 PHP 7.4.2 或更高版本。如果无法立即更新，请检查您的源代码，以识别并消除可能容易受到此漏洞影响的 mbstring 函数的使用。此外，实施安全最佳实践，例如输入验证和清理，以减少攻击面。更新是最佳实践，应优先考虑。