El equipo de desarrollo de PHP ha lanzado actualizaciones de seguridad que abordan varias vulnerabilidades. Estas vulnerabilidades, van desde fallas críticas de inyección de comandos arbitrarios, omisión de autenticación y denegación de servicio (DoS), mismas que requieren atención inmediata tanto de usuarios como de desarrolladores que dependen de PHP para sitios web y aplicaciones.
- CVE-2024-3096 (CVSS 9.8): Esta vulnerabilidad con severidad crítica, podría permitir a los atacantes eludir la autenticación de contraseña en sistemas que utilizan password_hash. Si bien requiere una contraseña de usuario que comience con un byte nulo, la explotación podría provocar ataques de apropiación de cuentas (ATO).
- CVE-2024-2756 (CVSS 9.8): Esta vulnerabilidad con severidad crítica, podría permitir a los atacantes establecer cookies maliciosas que las aplicaciones PHP pueden malinterpretar como seguras, abriendo la puerta al secuestro de sesiones de usuario o al lanzamiento de ataques de cross-site.
- CVE-2024-1874 (CVSS 9.8): Esta vulnerabilidad con severidad crítica, podría permitir a los atacantes inyectar comandos arbitrarios, lo que potencialmente podría llevar a la toma completa del sistema si las aplicaciones PHP ejecutan archivos batch (.bat) o de comando (.cmd).
- CVE-2024-2757 (CVSS 9.1): Esta vulnerabilidad con severidad crítica, afecta a la función mb_encode_mimeheader y podrían desencadenar bucles infinitos. Esta vulnerabilidad tiene el potencial de causar ataques de denegación de servicio al interrumpir el procesamiento de correo electrónico.
Versiones afectadas:
- Versiones de PHP 8.1.0 – 8.1.27, 8.2.0 – 8.2.17, y 8.3.0 – 8.3.4.
Solución:
Para mitigar las vulnerabilidades descritas previamente los usuarios deberán actualizar sus instalaciones de PHP a las versiones corregidas más recientes (8.1.28, 8.2.18, y 8.3.6). Las mismas pueden ser descargadas desde el portal oficial de PHP.
Recomendaciones:
- Aplicar las actualizaciones con los parches correspondientes para mitigar los riesgos de explotación.
- Examinar cualquier código que interactúe con argumentos de línea de comandos, archivos batch, cookies o procesamiento de correo electrónico.
- Verificar los procedimientos de manejo de cookies para asegurarse de que se está comprobando correctamente los prefijos __Host- y __Secure-.
Referencias: