El parche de PHP 8.5.12 podría estar incompleto, dicen investigadores
Una publicación en X dice que la corrección de seguridad puede estar incompleta pero necesita validación adicional. PHP dice que la versión 8.5.12 corrige dos vulnerabilidades críticas; no existe confirmación pública que establezca que las supuestas rutas restantes sean explotables.
By Ryan Merket · Published · Updated
Primary source: katze.sh
Por qué importa
Un fallo por doble liberación en una versión recién lanzada de PHP merece investigación, pero un aborto local en la CLI no prueba la explotabilidad remota ni demuestra que las dos correcciones críticas de PHP hayan fallado. Los operadores deberían distinguir el informe de Boyd de los avisos corregidos.
Elise Boyd informó un crash por doble liberación (double-free) en PHP 8.5.12 el 21 de octubre, el día en que PHP lanzó actualizaciones de seguridad para dos vulnerabilidades críticas de ejecución remota de código. Su publicación en Mastodon muestra un binario de PHP para línea de comandos compilado localmente abortando durante una ejecución de prueba de concepto.…
When you purchase through links in our articles, we may earn a small commission. This doesn’t affect our editorial independence.