p PatchFirst

PatchFirst · Aktuelle Sicherheitslücken

Sicherheitslücken in php7.0

In den letzten 30 Tagen veröffentlichte Sicherheitslücken für php7.0: 0. Davon im KEV-Katalog: 0.

RSS ↗ JSON ↗
Sicherheitslücken filtern
Filter zurücksetzen

Sicherheitslücken: 112

  1. CVE-2020-7070

    Mittel · CVSS 4.3EPSS 5,03%Korrektur verfügbar

    PHP parses encoded cookie names so malicious `__Host-` cookies can be sent

    In PHP versions 7.2.x below 7.2.34, 7.3.x below 7.3.23 and 7.4.x below 7.4.11, when PHP is processing incoming HTTP cookie values, the cookie names are url-decoded. This may lead to cookies with prefixes like __Host confused with cookies that decode to such prefix, thus leading to an attacker being able to forge cookie which is supposed to be secure. See also CVE-2020-8184 for more information.

    php7.0Betriebssysteme
    • Auf 7.0.33-0ubuntu0.16.04.16 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  2. CVE-2019-11048

    Mittel · CVSS 5.3EPSS 6,26%Korrektur verfügbar

    Temporary files are not cleaned after OOM when parsing HTTP request data

    In PHP versions 7.2.x below 7.2.31, 7.3.x below 7.3.18 and 7.4.x below 7.4.6, when HTTP file uploads are allowed, supplying overly long filenames or field names could lead PHP engine to try to allocate oversized memory storage, hit the memory limit and stop processing the request, without cleaning up temporary files created by upload request. This potentially could lead to accumulation of uncleaned temporary files exhausting the disk space on the target server.

    php7.0Betriebssysteme
    • Auf 7.0.33-0ubuntu0.16.04.15 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  3. CVE-2020-7066

    Mittel · CVSS 5.3EPSS 2,77%Korrektur verfügbar

    get_headers() silently truncates after a null byte

    In PHP versions 7.2.x below 7.2.29, 7.3.x below 7.3.16 and 7.4.x below 7.4.4, while using get_headers() with user-supplied URL, if the URL contains zero (\0) character, the URL will be silently truncated at it. This may cause some software to make incorrect assumptions about the target of the get_headers() and possibly send some information to a wrong server.

    php7.0Betriebssysteme
    • Auf 7.0.33-0ubuntu0.16.04.14 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  4. CVE-2020-7064

    Mittel · CVSS 6.5EPSS 4,29%Korrektur verfügbar

    Use-of-uninitialized-value in exif

    In PHP versions 7.2.x below 7.2.9, 7.3.x below 7.3.16 and 7.4.x below 7.4.4, while parsing EXIF data with exif_read_data() function, it is possible for malicious data to cause PHP to read one byte of uninitialized memory. This could potentially lead to information disclosure or crash.

    php7.0Betriebssysteme
    • Auf 7.0.33-0ubuntu0.16.04.14 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  5. CVE-2020-7063

    Mittel · CVSS 5.5EPSS 1,59%Korrektur verfügbar

    Files added to tar with Phar::buildFromIterator have all-access permissions

    In PHP versions 7.2.x below 7.2.28, 7.3.x below 7.3.15 and 7.4.x below 7.4.3, when creating PHAR archive using PharData::buildFromIterator() function, the files are added with default permissions (0666, or all access) even if the original files on the filesystem were with more restrictive permissions. This may result in files having more lax permissions than intended when such archive is extracted.

    php7.0Betriebssysteme
    • Auf 7.0.33-0ubuntu0.16.04.14 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  6. CVE-2020-7062

    Hoch · CVSS 7.5EPSS 3,58%Korrektur verfügbar

    Null Pointer Dereference in PHP Session Upload Progress

    In PHP versions 7.2.x below 7.2.28, 7.3.x below 7.3.15 and 7.4.x below 7.4.3, when using file upload functionality, if upload progress tracking is enabled, but session.upload_progress.cleanup is set to 0 (disabled), and the file upload fails, the upload procedure would try to clean up data that does not exist and encounter null pointer dereference, which would likely lead to a crash.

    php7.0Betriebssysteme
    • Auf 7.0.33-0ubuntu0.16.04.14 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  7. CVE-2020-7060

    Mittel · CVSS 6.5EPSS 8,89%Korrektur verfügbar

    global buffer-overflow in mbfl_filt_conv_big5_wchar

    When using certain mbstring functions to convert multibyte encodings, in PHP versions 7.2.x below 7.2.27, 7.3.x below 7.3.14 and 7.4.x below 7.4.2 it is possible to supply data that will cause function mbfl_filt_conv_big5_wchar to read past the allocated buffer. This may lead to information disclosure or crash.

    php7.0Betriebssysteme
    • Auf 7.0.33-0ubuntu0.16.04.11 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  8. CVE-2020-7059

    Mittel · CVSS 6.5EPSS 7,4%Korrektur verfügbar

    OOB read in php_strip_tags_ex

    When using fgetss() function to read data with stripping tags, in PHP versions 7.2.x below 7.2.27, 7.3.x below 7.3.14 and 7.4.x below 7.4.2 it is possible to supply data that will cause this function to read past the allocated buffer. This may lead to information disclosure or crash.

    php7.0Betriebssysteme
    • Auf 7.0.33-0ubuntu0.16.04.11 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  9. CVE-2019-11050

    Mittel · CVSS 4.8EPSS 7,62%Korrektur verfügbar

    Use-after-free in exif parsing under memory sanitizer

    When PHP EXIF extension is parsing EXIF information from an image, e.g. via exif_read_data() function, in PHP versions 7.2.x below 7.2.26, 7.3.x below 7.3.13 and 7.4.0 it is possible to supply it with data what will cause it to read past the allocated buffer. This may lead to information disclosure or crash.

    php7.0Betriebssysteme
    • Auf 7.0.33-0ubuntu0.16.04.9 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  10. CVE-2019-11047

    Mittel · CVSS 4.8EPSS 7,47%Korrektur verfügbar

    Heap-buffer-overflow READ in exif

    When PHP EXIF extension is parsing EXIF information from an image, e.g. via exif_read_data() function, in PHP versions 7.2.x below 7.2.26, 7.3.x below 7.3.13 and 7.4.0 it is possible to supply it with data what will cause it to read past the allocated buffer. This may lead to information disclosure or crash.

    php7.0Betriebssysteme
    • Auf 7.0.33-0ubuntu0.16.04.9 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  11. CVE-2019-11046

    Niedrig · CVSS 3.7EPSS 4,12%Korrektur verfügbar

    Buffer underflow in bc_shift_addsub

    In PHP versions 7.2.x below 7.2.26, 7.3.x below 7.3.13 and 7.4.0, PHP bcmath extension functions on some systems, including Windows, can be tricked into reading beyond the allocated space by supplying it with string containing characters that are identified as numeric by the OS but aren't ASCII numbers. This can read to disclosure of the content of some memory locations.

    php7.0Betriebssysteme
    • Auf 7.0.33-0ubuntu0.16.04.9 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  12. CVE-2019-11045

    Niedrig · CVSS 3.7EPSS 8,82%Korrektur verfügbar

    DirectoryIterator class silently truncates after a null byte

    In PHP versions 7.2.x below 7.2.26, 7.3.x below 7.3.13 and 7.4.0, PHP DirectoryIterator class accepts filenames with embedded \0 byte and treats them as terminating at that byte. This could lead to security vulnerabilities, e.g. in applications checking paths that the code is allowed to access.

    php7.0Betriebssysteme
    • Auf 7.0.33-0ubuntu0.16.04.9 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  13. CVE-2019-11043

    Hoch · CVSS 8.7EPSS 99,75%Im KEV-KatalogÖffentlicher ExploitKorrektur verfügbar

    Underflow in PHP-FPM can lead to RCE

    In PHP versions 7.1.x below 7.1.33, 7.2.x below 7.2.24 and 7.3.x below 7.3.11 in certain configurations of FPM setup it is possible to cause FPM module to write past allocated buffers into the space reserved for FCGI protocol data, thus opening the possibility of remote code execution.

    php7.0Betriebssysteme
    • Auf 7.0.33-0ubuntu0.16.04.7 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  14. CVE-2019-11042

    Mittel · CVSS 4.8EPSS 4,42%Korrektur verfügbar

    heap-buffer-overflow on exif_process_user_comment in EXIF extension

    When PHP EXIF extension is parsing EXIF information from an image, e.g. via exif_read_data() function, in PHP versions 7.1.x below 7.1.31, 7.2.x below 7.2.21 and 7.3.x below 7.3.8 it is possible to supply it with data what will cause it to read past the allocated buffer. This may lead to information disclosure or crash.

    php7.0Betriebssysteme
    • Auf 7.0.33-0ubuntu0.16.04.6 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  15. CVE-2019-11041

    Mittel · CVSS 4.8EPSS 4,42%Korrektur verfügbar

    heap-buffer-overflow on exif_scan_thumbnail in EXIF extension

    When PHP EXIF extension is parsing EXIF information from an image, e.g. via exif_read_data() function, in PHP versions 7.1.x below 7.1.31, 7.2.x below 7.2.21 and 7.3.x below 7.3.8 it is possible to supply it with data what will cause it to read past the allocated buffer. This may lead to information disclosure or crash.

    php7.0Betriebssysteme
    • Auf 7.0.33-0ubuntu0.16.04.6 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  16. CVE-2019-11040

    Mittel · CVSS 4.8EPSS 4,07%Korrektur verfügbar

    Heap buffer overflow in EXIF extension

    When PHP EXIF extension is parsing EXIF information from an image, e.g. via exif_read_data() function, in PHP versions 7.1.x below 7.1.30, 7.2.x below 7.2.19 and 7.3.x below 7.3.6 it is possible to supply it with data what will cause it to read past the allocated buffer. This may lead to information disclosure or crash.

    php7.0Betriebssysteme
    • Auf 7.0.33-0ubuntu0.16.04.5 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  17. CVE-2019-11039

    Mittel · CVSS 4.2EPSS 3,13%Korrektur verfügbar

    Out-of-bounds read in iconv.c

    Function iconv_mime_decode_headers() in PHP versions 7.1.x below 7.1.30, 7.2.x below 7.2.19 and 7.3.x below 7.3.6 may perform out-of-buffer read due to integer overflow when parsing MIME headers. This may lead to information disclosure or crash.

    php7.0Betriebssysteme
    • Auf 7.0.33-0ubuntu0.16.04.5 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  18. CVE-2019-11036

    Mittel · CVSS 4.8EPSS 7,03%Korrektur verfügbar

    Heap over-read in PHP EXIF extension

    When processing certain files, PHP EXIF extension in versions 7.1.x below 7.1.29, 7.2.x below 7.2.18 and 7.3.x below 7.3.5 can be caused to read past allocated buffer in exif_process_IFD_TAG function. This may lead to information disclosure or crash.

    php7.0Betriebssysteme
    • Auf 7.0.33-0ubuntu0.16.04.5 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  19. CVE-2019-11035

    Mittel · CVSS 4.8EPSS 4,41%Korrektur verfügbar

    Heap over-read in PHP EXIF extension

    When processing certain files, PHP EXIF extension in versions 7.1.x below 7.1.28, 7.2.x below 7.2.17 and 7.3.x below 7.3.4 can be caused to read past allocated buffer in exif_iif_add_value function. This may lead to information disclosure or crash.

    php7.0Betriebssysteme
    • Auf 7.0.33-0ubuntu0.16.04.4 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  20. CVE-2019-11034

    Mittel · CVSS 4.8EPSS 4,09%Korrektur verfügbar

    Heap over-read in PHP EXIF extension

    When processing certain files, PHP EXIF extension in versions 7.1.x below 7.1.28, 7.2.x below 7.2.17 and 7.3.x below 7.3.4 can be caused to read past allocated buffer in exif_process_IFD_TAG function. This may lead to information disclosure or crash.

    php7.0Betriebssysteme
    • Auf 7.0.33-0ubuntu0.16.04.4 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

Prüfen Sie Ihren Server

Gleichen Sie Ihren installierten Stack und seine Versionen mit den aktuellen Sicherheitsmeldungen ab.

Prüfen Sie Ihren Server →