Ilija Tovilo

O PHP apresenta uma falha de use-after-free onde o estado global, o tratamento de erros, objetos e o estado de extensões podem não ser resetados corretamente ou podem ser repopulados após o reset. Isso ocorre porque alguns estados apontam para a memória de uma única solicitação; se um erro fatal interromper a fase de limpeza ou se o processo utilizar `longjmp()` para erros de falta de memória (OOM) para abortar o processamento da solicitação, o estado global pode referenciar a memória após ela ter sido liberada. Solicitações subsequentes podem ler ou tomar decisões com base nesse estado obsoleto antes de ser totalmente inicializado. Um invasor remoto não autenticado pode explorar essa condição, especificamente através do componente `session.upload progress` ou enviando uma solicitação POST especialmente formatada, para alcançar a execução remota de código (RCE). Este problema afeta o mod php e afeta condicionalmente o FPM através de caminhos de estágio de aplicação.

Um problema de corrupção de memória do tipo use-after-free existe no núcleo do interpretador PHP, especificamente no componente `session.upload progress`. A falha ocorre durante a análise da requisição quando o PHP registra o estado como pronto antes que todas as alocações de memória sejam concluídas. Se uma alocação falhar devido a erros de falta de memória (OOM), a função `longjmp()` é usada para abortar a requisição, mas alguns contextos não revertem adequadamente o estado incompleto, deixando a memória da requisição não inicializada. Procedimentos de limpeza subsequentes podem ler ou ramificar essa memória. Um invasor remoto não autenticado pode explorar isso enviando requisições HTTP POST especialmente formuladas para alcançar a execução remota de código (RCE). A exploração no mundo real foi observada em sistemas usando Apache mod php, onde invasores usaram uma cadeia HTTP de quatro estágios envolvendo exaustão de memória e divulgação de informações via cabeçalho `PHPSESSID` para ignorar o ASLR e executar comandos de shell como `/bin/sh`.

Existe um problema na extensão mbstring onde a passagem de um nome de codificação contendo um byte NUL incorporado para certas funções faz com que o código assuma incorretamente que as strings possuem o mesmo comprimento quando `strncasecmp()` retorna 0. Isso pode resultar em uma leitura fora dos limites (out-of-bounds read) da memória global, o que pode levar à divulgação de informações ou a uma falha no sistema. As funções afetadas incluem `mb convert encoding()`, `mb detect encoding()`, `mb convert variables()` e `mb detect order()`. Além disso, as configurações INI `mbstring.detect order` e `mbstring.http output` são afetadas.

O método `DOMNode::C14N()` pode processar dados XML incorretamente, levando à criação de uma lista encadeada circular na estrutura de dados que representa o documento XML. Essa falha pode fazer com que o processamento subsequente do documento entre em um loop infinito, resultando em negação de serviço para a aplicação.

Um problema de use-after-free existe no mecanismo de deduplicação de objetos da extensão SOAP, especificamente na função `soap add xml ref()`. O mecanismo armazena ponteiros para objetos PHP em um mapa global sem incrementar suas contagens de referência. Quando um nó apache:Map contém chaves duplicadas, a segunda entrada sobrescreve a primeira no mapa de resultado temporário, liberando o objeto PHP original enquanto um ponteiro obsoleto permanece. Uma referência href subsequente ao nó liberado pode copiar esse ponteiro pendente para o resultado. Como as alocações de string do PHP podem recuperar a região de memória liberada, um invasor remoto com controle sobre o corpo da requisição SOAP pode explorar isso para alcançar a execução remota de código.

Quando o SoapServer é configurado com `SOAP PERSISTENCE SESSION`, o objeto manipulador é persistido entre as requisições via armazenamento de sessão. No entanto, caso as requisições SOAP resultem em erro, a persistência é processada incorretamente, resultando na liberação do objeto enquanto um ponteiro para ele é mantido. Isso pode levar a uma condição de use-after-free (uso após liberação), que ocorre quando um programa continua a usar um ponteiro após ele ter sido liberado, podendo causar corrupção de memória, divulgação de informações ou falhas no processo.

Um erro no processo de decodificação de um servidor SOAP com um typemap configurado faz com que o sistema verifique a variável errada quando um elemento de valor está ausente. Isso resulta em uma desreferência de ponteiro NULL, levando a uma falha de segmentação. Um invasor remoto não autenticado pode explorar isso para derrubar o processo do servidor SOAP do PHP, causando a negação de serviço.

Uma incompatibilidade entre as listas de codificação no Oniguruma e mbfl leva a uma desreferência de ponteiro NULL, resultando em uma falha de segmentação e negação de serviço. Isso ocorre quando a entrada controlada pelo usuário pode influenciar a codificação passada para a função `mb regex encoding()`.

Certas funções, incluindo `urldecode()`, passam caracteres assinados para funções ctype, como `isxdigit()`. Em sistemas que utilizam caracteres assinados por padrão e funções ctype de busca em tabela otimizadas, como o NetBSD, esse comportamento pode resultar no acesso a um array com um deslocamento negativo, podendo causar a negação de serviço.

O driver PDO Firebird lida incorretamente com bytes NUL durante a preparação de consultas SQL. Durante a construção da consulta token por token, um token de string contendo um byte NUL é copiado através da função `strncat()`, que para no byte NUL, descartando a aspa de fechamento e fazendo com que os tokens SQL subsequentes sejam interpretados como parte da string. Isso permite a injeção de SQL quando valores controlados por um invasor são citados via `PDO::quote()` e incorporados em instruções SQL.