The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Опубликованы результаты аудита безопасности кодовой базы PHP

10.04.2025 22:54

Фонд OSTIF (Open Source Technology Improvement Fund), созданный с целью усиления защищённости открытых проектов, объявил о завершении независимого аудита критических компонентов основной кодовой базы проекта PHP. Работа выполнена французской компанией QuarksLab, которая уже привлекалась для аудита проектов OpenVPN, VeraCrypt и OpenSSL. В ходе проверки выявлено 27 проблем, из которых 17 имеют отношение к безопасности, а 10 носят информационный характер. Двум проблемам присвоен статус опасных уязвимостей, шесть имеют средний уровень опасности, а девять признаны неопасными.

Среди выявленных уязвимостей:

  • CVE-2024-8928 - уязвимость в обработчике фильтров, приводящая к повреждению памяти.
  • CVE-2024-8929 - уязвимость в драйвере MySQL, приводящая к утечке содержимого памяти из-за чтения данных из области за границей буфера. Подключение к подконтрольному атакующему серверу MySQL может привести к утечке сведений о содержимом других SQL-запросов.
  • Проблема в PHP-FPM, позволяющая совершить DoS-атаку через создание излишней нагрузки на CPU.
  • Три проблемы средней опасности в обвязке над OpenSSL, связанные с выравниванием ключей, перезаписью вектора инициализации и отсутствием проверки параметров DH. Плюс 4 неопасных проблемы в обвязке над OpenSSL.
  • Целочисленное переполнение при разборе php.ini.
  • CVE-2024-9026 - уязвимость в PHP-FPM, позволяющая удалить символы из сообщений, выводимых в лог.
  • CVE-2024-8925 - проблема с разбором multipart-форм, приводящая к некорректной обработке данных.


  1. Главная ссылка к новости (https://www.php.net/index.php#...)
  2. OpenNews: Подтверждён факт взлома инфраструктуры проекта PHP
  3. OpenNews: Проект PHP сообщил о взломе и утечке базы паролей с Wiki-сервера
  4. OpenNews: Выявлены следы взлома PHP-репозитория PEAR и модификации пакетного менеджера
  5. OpenNews: Уязвимость в Glibc, эксплуатируемая через скрипты на PHP
  6. OpenNews: Уязвимость в PHP, позволяющая выполнить код при работе в режиме CGI
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/63049-php
Ключевые слова: php, audit
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (39) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 23:02, 10/04/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +17 +/
    На самом деле не так страшно, как я ожидал и как могло бы быть
     
     
  • 2.2, чатжпт (?), 23:05, 10/04/2025 [^] [^^] [^^^] [ответить]  
  • +19 +/
    ага, не так страшен пхп как программисты, которые на нем пишут
     
     
  • 3.6, Аноним (6), 00:13, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • –15 +/
    Пхп-программист - это как дхтмл-программист?
    Бывают программисты на таких языках?
    Это же дизайнеры сайтов, даже на бэкэнде.
    Такими их раньше и считали, похоже что то изменилось с тех пор.
     
     
  • 4.10, безразницы (?), 00:44, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Это как эсэсай программист на максималках.
     
  • 4.11, Аноним (-), 00:54, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Нет блин, один ты Д артаньян Сколько можно эту повестку нести в массы Программ... большой текст свёрнут, показать
     
  • 4.22, n00by (ok), 09:58, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • +2 +/
    PHP -- Тьюринг-полный язык, то есть позволяет "запрограммировать всё", грубо говоря.

    Для PHP есть PHPDoc и поддержка doxygen -- то есть возможно создавать документацию к коду.

    Всё это ты мог найти в поисковике за пару минут и без меня. Не смог? Тогда правильный вопрос: что ты тут делаешь?

     
     
  • 5.32, Аноним (32), 12:50, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    >PHP -- Тьюринг-полный язык, то есть позволяет "запрограммировать всё", грубо говоря.
    >Для PHP есть PHPDoc и поддержка doxygen -- то есть возможно создавать документацию к коду.

    Правильный вопрос: к чему этот поток сознания?

     
     
  • 6.41, n00by (ok), 18:16, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • +/
    А для твоего любимого bash есть аналог doxygen?
     
  • 2.4, Аноним (4), 23:35, 10/04/2025 [^] [^^] [^^^] [ответить]  
  • –3 +/
    А ты думал, что тебе расскажут про самые вкусные уязвимости? Такое лучше приберечь до времён когда объявят вознаграждение. Или просто приберечь.
     
  • 2.23, User (??), 09:58, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Вообще да. Кодовая база не маленькая, достаточно старая при том - и не так, чтобы плохо. Понятно, что в разных фреймворках\библиотеках похапэ-на-похапэ там на сто лет запасено, но всё-ж!
     

  • 1.3, Карлос Сношайтилис (ok), 23:35, 10/04/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    PHP этот случай когда исправил большинство своих детских ошибок и стал как окружающие.
    Но все помнят овцу.
     
     
  • 2.18, Жироватт (ok), 07:56, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Исправил ли?
     

  • 1.5, Аноним (6), 00:09, 11/04/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • –6 +/
    PHP - языком из прошлого ещё кто-то пользуется?

    Он уходит, как и Ruby.

     
     
  • 2.8, Аноним (-), 00:22, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > PHP - языком из прошлого ещё кто-то пользуется?

    Конечно. Есть же гигатонны легаси, которые пыхеры успели выродить.
    И никто их дропать не собрается, поэтому продолжат допиливать и допиливать.
    А начинать новый проект на нем... ну это нужно имень очень веские причины.

     
     
  • 3.21, Аноним (21), 09:47, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • +/
    PHP — не "язык прошлого", а язык специфических задач.

    Для стартапов/лендингов/бложиков — ещё актуален (особенно с Laravel или WordPress).

    Для высоконагруженных/сложных систем — чаще выбирают Go, Node.js, Python или даже Rust.

     
     
  • 4.29, Анониматор (?), 11:55, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • +/
    и еще помним про битрикс )))
     
  • 4.42, Gemorroj (ok), 22:19, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > высоконагруженных/сложных
    > Node.js, Python

    яснопонятно. люди так и не узнали про swoole и живут в мире php 4

     
  • 4.44, Аноним (44), 00:29, 12/04/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Расскажи это фонду Викимедиа
     
  • 2.13, Аноним (13), 00:56, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Я пользуюсь PHP. Использую LAMP-стек для хранения информации о пакетвх в своем дистрибутиве.
     
     
  • 3.45, Аноним (44), 00:31, 12/04/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Использую LAMP-стек для хранения информации о пакетвх

    Даже не знаю, плакать или смеяться

     
  • 2.14, Аноним (-), 00:58, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Он уходит с вашего местечкового рынка? Поищи в поисковой системе это до сих пор самый популярный язык в вебе во всем мире с огромнейшей долей рынка и никуда от этого не деться в ближайшее время.
     
     
  • 3.33, Аноним (33), 14:41, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • +/
    То, что большая часть этой доли это WordPress, тактично умолчим, иначе звучит как будто это скриптовый язык для CMS-ок
     
  • 2.24, YetAnotherOnanym (ok), 10:20, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Вообще-то, усилиями Фейсбука и прочих, нынешний ПХП - это уже далеко не тот ПХП, который был десять лет назад. И - да, пишут и немало пишут.
     
     
  • 3.28, Анониматор (?), 11:53, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • +/
    какие 10, я начинал писать на пыхе когда условный блок if надо было заканчивать ключевым словом fi, даже в фидонете тогда про него никто не слышал.
     
     
  • 4.39, YetAnotherOnanym (ok), 17:12, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • +/
    О том, что пых значительно старше - я в курсе :)
    Про "десять лет" я написал потому, что примерно рубеж нулевых-десятых и первая половина десятых - это то время, когда новости о дырах в пыхе шли нескончаемым потоком.
     
  • 2.25, Ivan_83 (ok), 10:25, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Да, отличный язык для своей области.
    Я только в выходные в rutorrent заслал два PR, как раз на пыхе.
    Да и свой SSDPd я не вижу смысла с пыха переписывать на что то.
     
  • 2.40, Аноним (40), 17:12, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Да-да, умирает, после каждого запроса умирает.
     
  • 2.47, windows10 (?), 02:13, 12/04/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > PHP - языком из прошлого ещё кто-то пользуется?

    Посмотри на скриншот, и ответь мне на несколько вопросов, друг:

    https://ibb.co/WvyTL87K

    1. Узнаешь ли ты ОС или хотя бы DE на этом скриншоте? Ну там по панели задач, по панели управления;
    2. Узнаешь ли ты язык в Geany на заднем фоне?
    3. Осознаешь ли, что целый модуль панели управления с ползунками и настройками для демона уведомлений (который тоже кстати написан на PHP) занимает всего 176 строк?
    4. Понимаешь ли ты насколько ущербны монструозно-тормозящие гномы с кедами и разжиревшей крысой, по сравнению с нормальным DE которое работает как молния, занимая при этом 72 мб на диске и ~30 гб в ОЗУ?

    А так да, язык из прошлого уходит. Напишу тебе на нем эпитафию гг

     
     
  • 3.49, Аноним (49), 14:51, 12/04/2025 [^] [^^] [^^^] [ответить]  
  • +/
    >работает как молния, занимая при этом 72 мб на диске и ~30 гб в ОЗУ

    Многовато в ОЗУ. Вы не ошиблись?

    P.S. Выкладывать на публику скиншот с матерным словом? Это многое говорит...

     
     
  • 4.51, windows10 (?), 17:51, 12/04/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Многовато в ОЗУ. Вы не ошиблись?

    Конечно же ошибся, что и ежу понятно.

    > P.S. Выкладывать на публику скиншот с матерным словом? Это многое говорит...

    К PHP это никак не относится.

     

  • 1.26, Google (?), 11:11, 11/04/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    > Фонд OSTIF (Open Source Technology Improvement Fund), созданный с целью усиления защищённости
    > открытых проектов, объявил о завершении независимого аудита основной  кодовой базы
    > проекта PHP. Работа выполнена французской компанией QuarksLab, которая  уже привлекалась
    > для аудита проектов OpenVPN, VeraCrypt и OpenSSL. В ходе проверки выявлено
    > 27 проблем, из которых 17 имеют отношение к безопасности, а 10
    > носят информационный характер...
    > Подробнее: https://www.opennet.me/opennews/art.shtml?num=63049

    В новости важно отметить факт, что не вся кодовая база была проверена, а только критические компоненты:

    Due to budget constraints, the recent security audit focused on the most critical components of the PHP source code rather than the entire codebase. Organizations interested in sponsoring a comprehensive audit or additional assessments are encouraged to contact us!

     
  • 1.27, Анониматор (?), 11:45, 11/04/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Забудьте про PHP-FPM, ведь есть NGINX Unit с модулем PHP и он на порядок производительнее
     
     
  • 2.30, безразницы (?), 12:15, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    "Порядок" это сколько процентов?
     
     
  • 3.31, Анониматор (?), 12:48, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    раз в 10 меньше задержек и раз в 10 больше принять коннектов
     
  • 2.34, Аноним (4), 15:20, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Забыли и про PHP, и про NGINX. Оставь себе.
     
  • 2.43, Gemorroj (ok), 22:20, 11/04/2025 [^] [^^] [^^^] [ответить]  
  • +/
    так есть и swoole/roadrunner/amphp/frankenphp о которых местная аудитория и не слышала.
     
     
  • 3.48, windows10 (?), 02:18, 12/04/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > так есть и swoole/roadrunner/amphp/frankenphp о которых местная аудитория и не слышала.

    А еще есть php-gtk, на котором написана целая полнофункциональная DE, есть php-dio на котором написан модуль для управления гибридным инвертором по протоколу modbus, есть еще php-gd, на котором можно рисовать графику не напрягаясь, и так далее и тому подобное =)

    Но 90% местной аудитории код вообще никогда не писала, поэтому странно надеяться что они что-то там слышали =)

     
     
  • 4.50, Аноним (49), 14:57, 12/04/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    И все они проверены на безопасность? Даже в топике был проверен не весь код.
     
     
  • 5.52, windows10 (?), 18:40, 12/04/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > И все они проверены на безопасность? Даже в топике был проверен не весь код.

    Безопасность от чего?

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2025 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру