Эксплойт для PHP утёк до патча: уязвимость в session.upload_progress ведёт к выполнению команд
Major PHP Vulnerability Leaked
Исследователь опубликовал до выхода официального патча разбор use-after-free в обработчике session.upload_progress. Уязвимость подтверждена на реальном php-src 8.4.4 и 8.2.34: обычный multipart POST отравляет закэшированные указатели, после чего освобождённый bucket переиспользуется и вызывает zend_call_function — фактически system(). Автор бесплатно выложил PoC, фреймворк для извлечения смещений под конкретную сборку и список срочных мер: отключить session.upload_progress.enabled и ограничить multipart-запросы на периметре.
Мера защиты до выхода патча не должна быть платной подпиской. Я работаю один, и сильнее всех рискуют небольшие команды без корпоративного контракта на threat intel.
- lorenzbrun
Я почти уверен, что это не та уязвимость, которая всё ещё официально под эмбарго. Думаю, я нашёл две настоящие уязвимости (обе UAF и похожие). Я пропатчил свой собственный код (по крайней мере, надеюсь на это) и зеркалю трафик в детектор, очень интересно посмотреть, когда получу первые срабатывания. Если я не увижу реальных попыток эксплуатации или полной утечки, я, думаю, пока не буду публиковать свои патчи.
- InvisibleUp
Согласно одному из разработчиков PHP, это может быть совершенно не связанный эксплойт. См. https://phpc.social/@Girgias/117476477429221001. Похоже, лучшая временная мера — SELinux или AppArmor.
- idlewords
Видимо, будущее за тем, как люди в комментариях спорят, является ли уязвимость высокой степени опасности той самой, что под эмбарго, или одной из разных разрушительных багов, обнаруженных, когда люди прослышали об эмбарго и натравили своих AI-агентов на кодовую базу.
- iambateman
Я отключил сервер нашего приложения, пока эта буря не уляжется.
- lionkor
Кто-то использует Claude, чтобы ролеплеить хакера... Жуть.