Trong những tháng gần đây, ngôn ngữ lập trình PHP phổ biến dùng tạo các trang web động đã bị phát hiện có hai lỗi bảo mật mới.
Theo Security Online, hai lỗ hổng mới trong PHP bị phát hiện và gán mã định danh CVE-2023-3823 và CVE-2023-3824. Lỗi CVE-2023-3823 có chỉ số CVSS là 8,6 là lỗ hổng tiết lộ thông tin, cho phép kẻ tấn công từ xa lấy thông tin nhạy cảm từ ứng dụng PHP.
CVE-2023-3823: Lỗi tiết lộ thông tin
Đây là lỗ hổng tiết lộ thông tin có điểm CVSS 8,6 cho phép kẻ tấn công từ xa đánh cắp thông tin nhạy cảm từ ứng dụng viết bằng PHP.
Lỗ hổng tồn tại do xác thực đầu vào XML của người dùng cung cấp không đầy đủ. Kẻ tấn công có thể khai thác lỗ hổng này bằng cách gửi mã XML tự tạo tới ứng dụng. Sau đó, ứng dụng sẽ phân tích cú pháp của mã này, từ đó kẻ tấn công có quyền truy cập vào thông tin nhạy cảm, chẳng hạn như nội dung của các tệp tùy ý trên hệ thống hoặc xem được kết quả các truy vấn bên ngoài.
Mọi ứng dụng, thư viện và máy chủ phân tích cú pháp hoặc tương tác với các tài liệu XML đều bị ảnh hưởng bởi CVE-2023-3823.
CVE-2023-3824: Lỗi tràn bộ đệm
Đây là lỗ hổng tràn bộ đệm có điểm CVSS 9,4 cho phép kẻ tấn công từ xa thực thi mã tùy ý trên hệ thống chạy bằng PHP.
Lỗ hổng tồn tại do kiểm tra giới hạn hàm phar_dir_read() không đúng. Kẻ tấn công có thể khai thác lỗ hổng này bằng cách gửi một yêu cầu tự tạo tới ứng dụng gây ra lỗi tràn bộ đệm, cho phép chúng giành quyền kiểm soát hệ thống và thực thi mã tùy ý.
Bên cạnh đó, vẫn còn rủi ro về việc tràn bộ đệm trong hàm “memset”. Mặc dù hiện tại chưa có trường hợp nào xảy ra trong chính PHP, nhưng các tiện ích mở rộng từ bên thứ ba vẫn có thể bị ảnh hưởng bởi CVE-2023-3824.
Thực tế, việc tấn công và lạm dụng lỗ hổng này khá phức tạp, tùy thuộc vào ứng dụng bị nhắm mục tiêu. Tuy vậy, về mặt lý thuyết, việc khai thác vẫn có thể xảy ra. Theo khuyến cáo cho biết: “Những người kiểm tra nội dung của các tệp phar không đáng tin cậy có thể bị ảnh hưởng.”
Cả hai lỗ hổng CVE-2023-3823 và CVE-2023-3824 đều đã được vá trong phiên bản PHP 8.0.30 và đã có mã khai thác. Chính vì sự nguy hiểm này, để bảo vệ người dùng và các website của khách hàng Chuyển Động Số cập nhật hệ thống lên phiên bản PHP 8.0.30 đến PHP 8.1
Theo cập nhật này một số website trước đó sử dụng phiên bản cũ hơn là PHP 7.4 hoặc thấp hơn sẽ tự động chuyển đổi cưỡng chế sang PHP phiên bản 8.1. Sự thay đổi đột ngột này dẫn đến một số hoạt động gây lỗi không như ý muốn. Chúng tôi sẽ rà soát lại toàn bộ các website đang hoạt động và sửa chữa lỗi nếu có.
Do sử dụng các tính năng khác nhau, nên không phải tất cả các website đều bị lỗi mà chỉ bị lỗi cục bộ trên từng chức năng riêng. Do đó, nếu có tình trạng lỗi trên website của quý khách, xin vui lòng liên hệ với Chuyển Động Số để được ưu tiên xử lý sớm
Xin cảm ơn