p PatchFirst

CVE-2021-21708

CVE-2021-21708 · UAF due to php_filter_float() failing

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

In PHP versions 7.4.x below 7.4.28, 8.0.x below 8.0.16, and 8.1.x below 8.1.3, when using filter functions with FILTER_VALIDATE_FLOAT filter and min/max limits, if the filter fails, there is a possibility to trigger use of allocated memory after free, which can result it crashes, and potentially in overwrite of other memory chunks and RCE. This issue affects: code that uses FILTER_VALIDATE_FLOAT with min/max limits.

CVSS 8.2 · Высокий · EPSS 3,0% · Есть исправление

Опубликовано
Обновлено

Стек: system · php

Затронутые продукты и версии

  • php

    Версии
    • ≥ 7.4.x, < 7.4.28: Затронуто (custom)
    • ≥ 8.0.X, < 8.0.16: Затронуто (custom)
    • ≥ 8.1.X, < 8.1.3: Затронуто (custom)

    Обновитесь до 7.4.28; Обновитесь до 8.0.16; Обновитесь до 8.1.3

  • php7.4 Debian:11

    Версии
    • 7.4.21-1+deb11u1
    • 7.4.25-1+deb11u1
    • 7.4.26-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 7.4.28-1+deb11u1

    Обновитесь до 7.4.28-1+deb11u1

  • php7.4 Ubuntu:20.04:LTS

    Версии
    • 7.4.3-4build1
    • 7.4.3-4build2
    • 7.4.3-4ubuntu1
    • 7.4.3-4ubuntu1.1
    • 7.4.3-4ubuntu2.2
    • 7.4.3-4ubuntu2.4
    • 7.4.3-4ubuntu2.5
    • 7.4.3-4ubuntu2.6
    • 7.4.3-4ubuntu2.7
    • 7.4.3-4ubuntu2.8
    Затронутые диапазоны версий
    • ECOSYSTEM: < 7.4.3-4ubuntu2.9

    Обновитесь до 7.4.3-4ubuntu2.9

  • php8.1 Ubuntu:22.04:LTS

    Версии
    • 8.1.0~rc4-1ubuntu2
    • 8.1.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 8.1.2-1ubuntu1

    Обновитесь до 8.1.2-1ubuntu1

Первоисточники

Проверьте свой сервер →