PHP 7: Üç Kritik Zero-Day Açığı

Popüler programlama dili PHP 7’de 3 adet kritik zero-day açığı bulundu. Dünya genelindeki web sitelerinin %80’inin PHP 7 kullandığı tahmin ediliyor ve bulunan bu açıklar sayesinde o web sitelerinin kontrolü ele geçirilebilir.

Kritik zero-day açıkları PHP 7’nin unserialize mekanizmasında bulunuyor. Aynı mekanizma PHP 5’te de bulunuyor ve bu dünya üzerindeki birçok popüler web sitesini tehlikeye atıyor.

Check Point şirketinin güvenlik araştırmacıları birkaç ay boyunca PHP 7’nin unserialize mekanizmasında denemeler yaptı ve çalışmalarının sonunda üç adet yeni açık keşfettiler.

PHP 5’te de aynı mekanizma bulunmasına rağmen PHP 7’de bulunan açıklar PHP 5’te bulunanlardan daha farklı. Check Point’in raporuna göre CVE-2016-7479, CVE-2016-7480 ve CVE-2016-7478 olarak kodlanan bu üç açık CVE-2015-6832 açığına benzer bir şekilde kullanılabiliyor.

  • CVE-2016-7479—Use-After-Free Code Execution
  • CVE-2016-7480—Use of Uninitialized Value Code Execution
  • CVE-2016-7478—Remote Denial of Service

Yukarıda listelediğimiz 3 açıktan ilk ikisi kullanılırsa, hedef alınan sunucu üzerinde tam kontrol sağlanabilir. Bu da demek oluyor ki, hedeflenen sunucunun müşteri verilerini çalmaktan, kötü amaçlı yazılım yaymaya kadar birçok şey yapılabilir. Listedeki üçüncü açık ise bir DoS saldırısı yaratmak için kullanılabiliyor.

Check Point’in exploit araştırma ekibinden Yannay Livneh yaptığı açıklamada buldukları açıkların daha önce kötü niyetli kişiler tarafından bulunup, kullanılmadığını belirtti.

Check Point ekibi buldukları üç güvenlik açığını 15 Eylül ve 6 Ağustos tarihlerinde PHP’nin güvenlik ekibine bildirdi. Yukarıda listelenen üç açıktan iki tanesi 13 Ekim ve 1 Aralık tarihlerinde PHP güvenlik ekibi tarafından kapatıldı fakat açıklardan biri hala kapatılmadı.

PHP kullanan web sitelerinin sunucularını en yeni PHP sürümüne yükseltmeleri öneriliyor.

Kaynak: thehackernews.com