CVE-2024-11234

Nome do software vulnerável e versões afetadas:

Versões do PHP 8.1.* anteriores à 8.1.31

Versões do PHP 8.2.* anteriores à 8.2.26

Versões do PHP 8.3.* anteriores à 8.3.14

Descrição:

O problema está relacionado à configuração da opção request fulluri no PHP, o que pode levar ao contrabando de solicitações HTTP ao usar fluxos com um proxy configurado. Isso pode permitir que um invasor execute solicitações HTTP arbitrárias originadas do servidor, potencialmente obtendo acesso a recursos que normalmente não estão disponíveis para o usuário externo. A exploração dessa vulnerabilidade pode permitir que um invasor remoto envie solicitações HTTP ocultas.

Recomendações:

Para versões do PHP 8.1.* anteriores à 8.1.31, atualize para a versão 8.1.31 ou posterior.

Para versões do PHP 8.2.* anteriores à 8.2.26, atualize para a versão 8.2.26 ou posterior.

Para versões do PHP 8.3.* anteriores à 8.3.14, atualize para a versão 8.3.14 ou posterior.

Como solução temporária, considere desativar o uso da opção request fulluri com proxies configurados até que um patch esteja disponível. Restrinja o acesso ao manipulador de proxy para minimizar o risco de exploração. Evite usar a opção request fulluri em fluxos com proxies configurados até que a vulnerabilidade seja resolvida.