Ilija Tovilo

يحتوي PHP على خلل من نوع use-after-free حيث قد لا يتم إعادة تعيين الحالة العامة، ومعالجة الأخطاء، والكائنات، وحالة الامتدادات بشكل صحيح أو قد يتم إعادة ملئها بعد إعادة تعيينها. يحدث هذا لأن بعض الحالات تشير إلى ذاكرة مملوكة لطلب واحد؛ فإذا أدى خطأ فادح إلى مقاطعة مرحلة التنظيف أو إذا استخدمت العملية `longjmp()` لأخطاء نفاد الذاكرة (OOM) لإلغاء معالجة الطلب، فقد تشير الحالة العامة إلى الذاكرة بعد تحريرها. قد تقوم الطلبات اللاحقة بعد ذلك بالقراءة أو التفرع بناءً على هذه الحالة القديمة قبل تهيئتها بالكامل. يمكن لمهاجم عن بُعد غير مصرح له استغلال هذه الحالة، وتحديداً من خلال مكون `session.upload progress` أو عن طريق إرسال طلب POST مصاغ خصيصاً، لتحقيق تنفيذ عن بُعد للكود (RCE). تؤثر هذه المشكلة على mod php وتؤثر بشكل مشروط على FPM من خلال مسارات مرحلة التطبيق.

توجد مشكلة فساد في الذاكرة من نوع use-after-free في نواة مفسر PHP، وتحديداً ضمن مكون `session.upload progress`. تحدث الثغرة أثناء تحليل الطلب عندما يسجل PHP الحالة كجاهزة قبل اكتمال جميع عمليات تخصيص الذاكرة. إذا فشل التخصيص بسبب أخطاء نفاد الذاكرة (OOM)، يتم استخدام الدالة `longjmp()` لإلغاء الطلب، ولكن بعض السياقات تفشل في التراجع عن الحالة غير المكتملة، مما يترك ذاكرة الطلب غير مهيأة. قد تقوم إجراءات التنظيف اللاحقة بقراءة أو التفرع من هذه الذاكرة. يمكن لمهاجم عن بُعد غير مصرح له استغلال ذلك عن طريق إرسال طلبات HTTP POST مصممة خصيصاً لتحقيق تنفيذ عن بُعد للكود (RCE). تم رصد استغلال فعلي في أنظمة تستخدم Apache mod php، حيث استخدم المهاجمون سلسلة HTTP مكونة من أربع مراحل تتضمن استنزاف الذاكرة وكشف المعلومات عبر ترويسة `PHPSESSID` لتجاوز ASLR وتنفيذ أوامر shell مثل `/bin/sh`.

توجد مشكلة في ملحق mbstring حيث يؤدي تمرير اسم ترميز يحتوي على بايت NUL مضمن إلى وظائف معينة إلى افتراض الكود بشكل غير صحيح أن السلاسل متساوية في الطول عندما تُرجع الدالة `strncasecmp()` القيمة 0. وقد يؤدي ذلك إلى قراءة خارج نطاق الذاكرة العامة، مما قد يؤدي إلى كشف المعلومات أو تعطل النظام. تشمل الوظائف المتأثرة `mb convert encoding()` و`mb detect encoding()` و`mb convert variables()` و`mb detect order()`. بالإضافة إلى ذلك، تتأثر إعدادات INI `mbstring.detect order` و`mbstring.http output`.

قد تعالج الطريقة `DOMNode::C14N()` بيانات XML بشكل غير صحيح، مما يؤدي إلى إنشاء قائمة مرتبطة دائرية داخل بنية البيانات التي تمثل مستند XML. يمكن أن يتسبب هذا الخلل في دخول المعالجة اللاحقة للمستند في حلقة لا نهائية، مما يؤدي إلى رفض الخدمة للتطبيق.

توجد مشكلة ”الاستخدام بعد التحرير“ (use-after-free) في آلية إزالة التكرار للكائنات في ملحق SOAP، وتحديدًا داخل الدالة `soap add xml ref()`. تقوم الآلية بتخزين مؤشرات إلى كائنات PHP في خريطة عامة دون زيادة عدد مرات الإشارة إليها. عندما تحتوي عقدة apache:Map على مفاتيح مكررة، فإن الإدخال الثاني يحل محل الأول في خريطة النتائج المؤقتة، مما يؤدي إلى تحرير كائن PHP الأصلي بينما يبقى المؤشر القديم. يمكن أن يؤدي أي مرجع href لاحق إلى العقدة التي تم تحريرها إلى نسخ هذا المؤشر المعلق إلى النتيجة. ونظرًا لأن عمليات تخصيص سلاسل PHP يمكنها استعادة منطقة الذاكرة التي تم تحريرها، يمكن لمهاجم بعيد يتحكم في نص طلب SOAP استغلال هذه الثغرة لتنفيذ تعليمات برمجية عن بُعد.

عندما يتم تكوين SoapServer باستخدام `SOAP PERSISTENCE SESSION`، يتم الاحتفاظ بكائن المعالج عبر الطلبات باستخدام تخزين الجلسة. إذا أسفر طلب SOAP عن حدوث خطأ، تتم معالجة الاستمرارية بشكل غير صحيح، مما يؤدي إلى تحرير الكائن بينما يظل المؤشر إليه موجودًا. ويؤدي ذلك إلى حالة «الاستخدام بعد التحرير» (use-after-free)، وهي حالة يستمر فيها البرنامج في استخدام المؤشر بعد تحريره، مما قد يؤدي إلى تلف الذاكرة أو الكشف عن المعلومات أو تعطل العمليات.

يؤدي خطأ في عملية فك التشفير لخادم SOAP الذي يحتوي على خريطة أنواع (typemap) مكونة إلى قيام النظام بفحص المتغير الخاطئ عند فقدان عنصر القيمة. وينتج عن ذلك إزالة مرجعية مؤشر NULL، مما يؤدي إلى خطأ في التجزئة. يمكن لمهاجم بعيد غير مصدق عليه استغلال هذا الثغرة لإحداث تعطل في عملية خادم PHP SOAP، مما يتسبب في رفض الخدمة.

يؤدي عدم تطابق قوائم الترميز في Oniguruma و mbfl إلى إزالة مرجعية مؤشر NULL، مما ينتج عنه خطأ في التجزئة ورفض الخدمة. يحدث هذا عندما تؤثر المدخلات التي يتحكم فيها المستخدم على الترميز الذي يتم تمريره إلى الدالة `mb regex encoding()`.

تقوم بعض الوظائف، بما في ذلك `urldecode()`، بتمرير أحرف موقعة إلى وظائف ctype مثل `isxdigit()`. في الأنظمة التي تستخدم أحرفًا موقعة افتراضية ووظائف ctype المُحسّنة للبحث في الجداول، مثل NetBSD، قد يؤدي هذا السلوك إلى الوصول إلى مصفوفة ذات إزاحة سالبة، مما قد يؤدي إلى حدوث هجوم رفض الخدمة.

يقوم برنامج تشغيل PDO Firebird بمعالجة بايتات NUL بشكل غير صحيح أثناء إعداد استعلامات SQL. أثناء بناء الاستعلام رمزًا برمز، يتم نسخ رمز سلسلة يحتوي على بايت NUL باستخدام الدالة `strncat()`، التي تتوقف عند بايت NUL. يؤدي هذا الإجراء إلى حذف علامة الاقتباس الختامية، مما يتسبب في تفسير رموز SQL اللاحقة على أنها جزء من السلسلة. يتيح هذا السلوك حدوث حقن SQL عندما تتم معالجة القيم التي يتحكم فيها المهاجم عبر الدالة `PDO::quote()` وتضمينها في عبارات SQL.