PHPで複数の脆弱性が修正 対象者はアップデートを(CVE-2024-4577,CVE-2024-9026,CVE-2024-8927,CVE-2024-8926,CVE-2024-8925)

現地時間9月26日にPHPの開発チームは複数の脆弱性(CVE-2024-4577,CVE-2024-9026,CVE-2024-8927,CVE-2024-8926,CVE-2024-8925)へのアップデート対応をリリースしました。CVE-2024-4577はランサムウェア攻撃グループ「TellYouThePass」の悪用が確認されているので早めにアップデートする事をお勧めします。

脆弱性に対応するアップデートバージョン

・PHPバージョン 8.1.30

・PHPバージョン 8.2.24

・PHPバージョン 8.3.12

脆弱性の影響を受けるバージョン

・PHP バージョン 8.1.30未満

・PHP バージョン 8.2.24未満

・PHP バージョン 8.3.12未満

脆弱性 CVE-2024-4577について

CVE-2024-4577として追跡されているこの脆弱性は、Windows OSにインストールされているすべてのバージョンの PHP に影響を及ぼす CGI 引数インジェクションの脆弱性とされます。

既にランサムウェア攻撃グループ「TellYouThePass」の悪用が確認されています。

脆弱性 CVE-2024-9026について

PHP-FPM のログが操作される可能性があり、攻撃者はログ エントリから余分な文字を挿入したり、最大 4 文字を削除したりできるようになります。これにより、インシデント対応やフォレンジック調査が妨げられる可能性があります

脆弱性 CVE-2024-8927について

攻撃者はこの脆弱性を悪用して、構成によって課せられた制限を回避しcgi.force_redirect、特定の構成に任意のファイルが含まれるようにする可能性があります。

これにより、機密データが危険にさらされ、不正アクセスが発生する可能性があります。

脆弱性 CVE-2024-8926について

この脆弱性は、特定の非標準の Windows コードページ構成で以前の修正 (CVE-2024-4577) を回避します。実際の環境で発生する可能性は低いですが、一見軽微な脆弱性であっても対処することの重要性を強調されています。

脆弱性 CVE-2024-8925について

マルチパート フォーム データの解析におけるこのバグにより、正当なデータが処理されず、データの整合性が侵害される可能性があります。攻撃者はこれを悪用して、特定の条件下で正当なデータの一部を除外することができます。