Nora Dossche

توجد مشكلة فساد في الذاكرة من نوع use-after-free في نواة مفسر PHP، وتحديداً ضمن مكون `session.upload progress`. تحدث الثغرة أثناء تحليل الطلب عندما يسجل PHP الحالة كجاهزة قبل اكتمال جميع عمليات تخصيص الذاكرة. إذا فشل التخصيص بسبب أخطاء نفاد الذاكرة (OOM)، يتم استخدام الدالة `longjmp()` لإلغاء الطلب، ولكن بعض السياقات تفشل في التراجع عن الحالة غير المكتملة، مما يترك ذاكرة الطلب غير مهيأة. قد تقوم إجراءات التنظيف اللاحقة بقراءة أو التفرع من هذه الذاكرة. يمكن لمهاجم عن بُعد غير مصرح له استغلال ذلك عن طريق إرسال طلبات HTTP POST مصممة خصيصاً لتحقيق تنفيذ عن بُعد للكود (RCE). تم رصد استغلال فعلي في أنظمة تستخدم Apache mod php، حيث استخدم المهاجمون سلسلة HTTP مكونة من أربع مراحل تتضمن استنزاف الذاكرة وكشف المعلومات عبر ترويسة `PHPSESSID` لتجاوز ASLR وتنفيذ أوامر shell مثل `/bin/sh`.

يحتوي PHP على خلل من نوع use-after-free حيث قد لا يتم إعادة تعيين الحالة العامة، ومعالجة الأخطاء، والكائنات، وحالة الامتدادات بشكل صحيح أو قد يتم إعادة ملئها بعد إعادة تعيينها. يحدث هذا لأن بعض الحالات تشير إلى ذاكرة مملوكة لطلب واحد؛ فإذا أدى خطأ فادح إلى مقاطعة مرحلة التنظيف أو إذا استخدمت العملية `longjmp()` لأخطاء نفاد الذاكرة (OOM) لإلغاء معالجة الطلب، فقد تشير الحالة العامة إلى الذاكرة بعد تحريرها. قد تقوم الطلبات اللاحقة بعد ذلك بالقراءة أو التفرع بناءً على هذه الحالة القديمة قبل تهيئتها بالكامل. يمكن لمهاجم عن بُعد غير مصرح له استغلال هذه الحالة، وتحديداً من خلال مكون `session.upload progress` أو عن طريق إرسال طلب POST مصاغ خصيصاً، لتحقيق تنفيذ عن بُعد للكود (RCE). تؤثر هذه المشكلة على mod php وتؤثر بشكل مشروط على FPM من خلال مسارات مرحلة التطبيق.

The SOAP HTTP client contains a flaw in how it manages response buffer growth. The system uses a check based on signed integer overflow, which is considered undefined behavior and may be optimized away by the compiler. This allows a malicious SOAP server to force the client to allocate a buffer significantly smaller than the actual data being written, resulting in a heap buffer overflow. A heap buffer overflow occurs when data is written beyond the boundaries of a memory block allocated on the heap, potentially leading to crashes or arbitrary code execution.

The mysqlnd wire protocol parser reads fields from server packets without first verifying if the packet contains sufficient bytes. This allows a malicious or compromised MySQL server to send a truncated packet, causing the client to read beyond the packet buffer. This undefined behavior can lead to a process crash.

The `convert.base64-encode`, `convert.quoted-printable-encode`, and `convert.quoted-printable-decode` stream filters contain a memory handling issue. These filters use a `line-break-chars` option where the length is tracked independently of the actual string. The filter constructors use the `pestrdup()` function, which terminates the string at the first NUL byte but retains the original length. Consequently, when the filter generates a line break, it reads beyond the truncated memory allocation, resulting in the leakage of adjacent heap bytes into the filter output.

توجد مشكلة ”الاستخدام بعد التحرير“ (use-after-free) في آلية إزالة التكرار للكائنات في ملحق SOAP، وتحديدًا داخل الدالة `soap add xml ref()`. تقوم الآلية بتخزين مؤشرات إلى كائنات PHP في خريطة عامة دون زيادة عدد مرات الإشارة إليها. عندما تحتوي عقدة apache:Map على مفاتيح مكررة، فإن الإدخال الثاني يحل محل الأول في خريطة النتائج المؤقتة، مما يؤدي إلى تحرير كائن PHP الأصلي بينما يبقى المؤشر القديم. يمكن أن يؤدي أي مرجع href لاحق إلى العقدة التي تم تحريرها إلى نسخ هذا المؤشر المعلق إلى النتيجة. ونظرًا لأن عمليات تخصيص سلاسل PHP يمكنها استعادة منطقة الذاكرة التي تم تحريرها، يمكن لمهاجم بعيد يتحكم في نص طلب SOAP استغلال هذه الثغرة لتنفيذ تعليمات برمجية عن بُعد.