PT-2024-3030 · Php+2 · Php+2

Benjamin Gehrels + 1 · Publicado 2024-04-11 · Atualizado 2025-08-11 · CVE-2024-2757

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas

Versões do PHP 8.3.0 a 8.3.4

Descrição

O problema está relacionado à função mb encode mimeheader() no PHP, que pode ser executada indefinidamente para determinadas entradas contendo longas sequências de caracteres não espaciais seguidas por um espaço. Isso pode levar a um potencial ataque DoS se um usuário mal-intencionado enviar dados para um aplicativo que utilize essa função.

Recomendações

Para as versões do PHP 8.3.0 a 8.3.4, atualize para a versão 8.3.5 ou posterior para resolver o problema.

Como solução temporária, considere desativar o uso da função mb encode mimeheader() em aplicativos até que um patch esteja disponível.

Correção

DoS

Resource Exhaustion

Infinite Loop

Enumeração de Fraquezas

CWE-400

CWE-835

Identificadores relacionados

ALT-PU-2024-6442

AZL-40055

BDU:2024-03214

BIT-LIBPHP-2024-2757

BIT-PHP-2024-2757

BIT-PHP-MIN-2024-2757

CVE-2024-2757

GHSA-FJP9-9HWX-59FQ

OPENSUSE-SU-2024:13867-1

Produtos afetados

Alt Linux

Php

Red Os

Referências · 38

• https://github.com/php/php-src/security/advisories/GHSA-fjp9-9hwx-59fq · Aviso do Fabricante
• https://github.com/php/php-src/commit/3394efc63e52a017995f92d8da4ef28224247bb3 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-2757 · Nota de Segurança
• https://suse.com/security/cve/CVE-2024-1874 · Nota
• http://openwall.com/lists/oss-security/2024/04/12/11 · Nota
• https://osv.dev/vulnerability/BELL-CVE-2024-2757 · Aviso do Fabricante
• https://security.netapp.com/advisory/ntap-20240510-0011 · Nota
• https://twitter.com/CVEnew/status/1784799470888407490 · Publicação no Twitter
• https://safe-surf.ru/specialists/bulletins-nkcki/706626 · Nota de Segurança
• https://twitter.com/RsSI47041968/status/1801668442925502813 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2022-31629 · Nota
• https://ubuntu.com/security/CVE-2024-2757 · Aviso do Fabricante
• https://t.me/cvenotify/126123 · Publicação no Telegram
• https://t.me/cvenotify/78297 · Publicação no Telegram
• https://twitter.com/pineda_security/status/1785269952863170594 · Publicação no Twitter