Grave vulnerabilidad en PHP introducida con un parche anterior.

Si hace un par de semanas se publicaba la actualización 5.3.9 de PHP, ahora se detecta una nueva vulnerabilidad provocada por los cambios introducidos en el parche que solucionaban la anterior, relacionada con las tablas hash (CVE-2011-4885).

Según el investigador Stefan Esser (i0n1c), esta nueva vulnerabilidad (CVE-2012-0830) permitiría la ejecución remota de código o en su defecto, una ataque de denegación de servicio .Existe una prueba de concepto que la aprovecha.

La vulnerabilidad se presenta en la introducción de una nueva propiedad dentro de php.ini, llamada "max_input_vars" que limita el número máximo de parámetros que pueden ser usados en una petición (por ej:
http://www.sitio.com/peticion.php?a=1&b=2&c=3). Por defecto le es asignado el valor 1000.

Esto, unido a los cambios introducidos en la función 'php_register_variable_ex' que no controlan correctamente cuándo se supera el valor max_input_vars y se utiliza un array de variables, permite que se pueda ejecutar código remotamente.

Si se observa el código cambiado en php_variables.c, se comprueba que sólo se controlan los valores menores o iguales a "max_input_vars":

 if (zend_hash_num_elements(symtable1) <= PG(max_input_vars)) {
    if (zend_hash_num_elements(symtable1) == PG(max_input_vars)) {
       php_error_docref(NULL TSRMLS_CC, E_WARNING, "Input variables  exceeded %ld. To increase the limit change max_input_vars in php.ini.",  PG(max_input_vars));
    }
 ...
 
Sin "else" que encamine por otras vías el código. Por tanto, si se supera dicho valor el código seguiría ejecutándose hasta llegar a:

 symtable1 = Z_ARRVAL_PP(gpc_element_p);

una macro que devuelve referencias a la tabla hash actualizada. Es aquí donde se podría ejecutar el código arbitrario o, provocar una denegación de servicio.

PHP ha publicado rápidamente la actualización de PHP 5.3.10 que se encuentra disponible en:
http://www.php.net/downloads.php

Opina sobre esta noticia:
http://unaaldia.hispasec.com/2012/02/grave-vulnerabilidad-en-php-introducida.html#comments

Más información:

Una vulnerabilidad podría permitir dejar sin servicio a la mayoría de servicios web
http://unaaldia.hispasec.com/2011/12/una-vulnerabilidad-podria-permitir.html

Critical PHP Remote Vulnerability Introduced in Fix for PHP Hashtable Collision DOS
http://thexploit.com/sec/critical-php-remote-vulnerability-introduced-in-fix-for-php-hashtable-collision-dos/

Simple proof of concept for PHP bug described by Stefan Esser (@i0n1c)
https://gist.github.com/1725489






Fuente:
José Mesa Orihuela
jmesa@hispasec.com
Laboratorio Hispasec
www.hispasec.com

Imagen:
Fotos Digitales Gratis
www.fotosdigitalesgratis.com

Logos/Imágenes MR Respectivas Compañías mencionadas en la noticia.
Portal de Seguridad Informática, Tecnología e Internet
Descargas Antivirus/Antimalware
www.antivirusgratis.com.ar