PT-2013-14: Внедрение внешних XML-сущностей в PHP

Уязвимое ПО

PHP
Версия: 5.4.12/5.3.22 и более ранние

Ссылка: 
http://php.net/

Рейтинг опасности

Уровень опасности: Средний 
Воздействие: Внедрение XML External Entity (XXE)
Вектор атаки: Удаленный

CVSS v2: 
Base Score: 5.0 
Vector: (AV:N/AC:L/Au:N/C:P/I:N/A:N)

CVE: CVE-2013-1643

Описание программы

PHP является распространенным интерпретируемым языком общего назначения с открытым исходным кодом.

Описание уязвимости

Специалисты компании Positive Technologies обнаружили уязвимость "Внедрение внешних XML-сущностей" в PHP.

Уязвимость была обнаружена во встроенных классах PHP SoapClient и SoapServer. В PHP разрешены внешние сущности при обработке SOAP wsdl-документов, что позволяет атакующему читать произвольные файлы. Если веб-приложение десериализует полученные от пользователя данные и пытается выполнить любой метод у десериализованного объекта, то злоумшленник имеет возможность отправить сериализованный объект SoapClient, инициализированный в режиме без использования wsdl-документа, в результате чего PHP автоматически обратится по URI, указанному в параметре "location", и отправит на сервер злоумышленника содержание указанного им файла.

Решение

Установите последнюю версию приложения.

Статус уведомления

07.02.2013 - Производителю отправлены детали уязвимости
14.03.2013 - Производитель выпустил исправление
19.03.2013 - Публикация уязвимости

Благодарности

Уязвимость обнаружил Арсений Реутов (Исследовательcкий центр Positive Research компании Positive Technologies)

Ссылки

http://www.securitylab.ru/lab/PT-2013-14

Список отчетов о ранее обнаруженных уязвимостях Positive Research:

http://www.ptsecurity.ru/lab/advisory/
http://www.securitylab.ru/lab/

Уязвимости