Критическая PHP-уязвимость открывает сайты для SQL-инъекции

Критическая PHP-уязвимость открывает сайты для SQL-инъекции

Критическая PHP-уязвимость открывает сайты для SQL-инъекции

Критическая уязвимость, затрагивающая ряд версий PHP 8, угрожает веб-приложениям и сайтам, позволяя провести SQL-инъекцию. Патчи уже готовы, поэтому настоятельно рекомендуется установить их как можно скорее.

Проблема получила идентификатор CVE-2022-31631 и 9,1 балла по шкале CVSS. Брешь актуальна для PHP 8.0.x до версии 8.0.27, 8.1.x до версии 8.1.15 и 8.2.x до версии 8.2.2.

Баг кроется в функции PDO::quote() при использовании баз данных SQLite. Эта функция часто применяется для очистки вводимых пользователем данных перед их использованием в запросах к БД.

По типу CVE-2022-31631 представляет собой классическую проблему целочисленного переполнения буфера. Если PDO::quote() обрабатывает слишком длинную строку, функция не может корректно экранировать входные данные.

Этот изъян может привести с созданию опасных SQL-запросов, которые могут позволить киберпреступникам внедрить вредоносный код и получить контроль над базой данных.

Таким образом, корень уязвимости находится в механизме обработки длинных строк в PHP: например, базовая функция SQLite sqlite3_snprintf() использует 32-битное целое число для параметров длины, а PHP PDO::quote() — zend_long (64-битное). Именно это несоответствие приводит к целочисленному переполнению буфера.

При этом 32-битные системы менее уязвимы к CVE-2022-31631, а вот пользователям 64-битных стоит незамедлительно установить патчи.

МАКС откроет исходный код и разрешит создавать альтернативные клиенты

Мессенджер МАКС готовится приоткрыть двери сторонним разработчикам. Платформа запустит специальную программу и предоставит API для создания альтернативных клиентских приложений — от корпоративных решений до нестандартных пользовательских сценариев.

Присоединиться к «Программе разработчиков МАКС» смогут ИТ-компании из России и дружественных стран.

Однако одного желания написать ещё один МАКС, только удобнее будет недостаточно. Среди ключевых требований — опыт реализации крупных ИТ-проектов и соответствие стандартам безопасности.

Участникам придётся применять практики защищённой разработки, внедрять надёжные механизмы шифрования и проходить аудит кода. Кроме того, компании должны подтвердить, что обладают достаточной технологической экспертизой для защиты пользовательских данных и инфраструктуры.

Прошедшие отбор разработчики получат техническую документацию, дизайн-систему и исходный код официального клиента МАКС. Для подключения к инфраструктуре платформы им также выдадут токен доступа.

Готовые механизмы регистрации пользователей и противодействия мошенничеству обещают предоставить в комплекте — изобретать велосипед с цифровым паспортом не придётся.

При этом вольницы не будет: все сторонние клиенты обязаны соблюдать условия использования API. Видимо, альтернативность разрешат в интерфейсах и сценариях, но не в отношении к безопасности.

Заявки на участие будут принимать на сайте dev.max.ru. Точные сроки запуска программы пока не названы. Если всё заработает по плану, МАКС получит не только официальный клиент, но и целую коллекцию его кастомных родственников.

RSS: Новости на портале Anti-Malware.ru