CVE-2023-0568
Array overrun in common path resolve code
HIGH 7.5
En bref
- Source
- NVD
- EPSS
- EPSS 1.24 % · centile 69 ()
- État
- PUBLISHED
- Publiée
- Mise à jour
- Attribuée par
- php
- Statut NVD
- Modified
Description
In PHP 8.0.X before 8.0.28, 8.1.X before 8.1.16 and 8.2.X before 8.2.3, core path resolution function allocate buffer one byte too small. When resolving paths with lengths close to system MAXPATHLEN setting, this may lead to the byte after the allocated buffer being overwritten with NUL value, which might lead to unauthorized data access or modification.
Faiblesses (CWE)
- CWE-131 — Calcul incorrect de la taille d'un tampon
- CWE-770 — Allocation de ressources sans limite ni régulation
Références
Scores
| Version | Score | Vecteur | Évalué par |
|---|---|---|---|
| CVSS 3.1 | HIGH 7.5 | CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H | php |
| CVSS 3.1 | HIGH 7.5 | CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H | NVD · security@php.net (Secondary) |
| CVSS 3.1 | HIGH 8.1 | CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H | NVD · nvd@nist.gov (Primary) |
Références européennes
- ENISA EUVD · EUVD-2023-12610
- GCVE · GCVE-0-2023-0568
Avis du CERT-FR
- CERTFR-2024-AVI-0866 — Multiples vulnérabilités dans les produits Juniper Networks · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0119 — Multiples vulnérabilités dans les produits Siemens · cert.ssi.gouv.fr
- CERTFR-2023-AVI-0339 — Multiples vulnérabilités dans Tenable.sc · cert.ssi.gouv.fr
- CERTFR-2023-AVI-0267 — Multiples vulnérabilités dans Tenable.sc · cert.ssi.gouv.fr
- CERTFR-2023-AVI-0254 — Multiples vulnérabilités dans Tenable.sc · cert.ssi.gouv.fr
- CERTFR-2023-AVI-0135 — Multiples vulnérabilités dans PHP · cert.ssi.gouv.fr
Configurations affectées (CPE NVD)
cpe:2.3:a:php:php:*:*:*:*:*:*:*:*≥ 8.0.0 < 8.0.28cpe:2.3:a:php:php:*:*:*:*:*:*:*:*≥ 8.1.0 < 8.1.16cpe:2.3:a:php:php:*:*:*:*:*:*:*:*≥ 8.2.0 < 8.2.3
Produits affectés
| Produit | Versions |
|---|---|
| PHP Group · PHP | affected 8.0.x < 8.0.28 ; affected 8.1.x < 8.1.16 ; affected 8.2.x < 8.2.3 |
Sources
| Source | Licence |
|---|---|
| CVE List (CVEProject cvelistV5) | CVE Program Terms of Use |
| EPSS (FIRST.org) | FIRST — attribution requested |
| ENISA EUVD | ENISA — reproduction authorised, source acknowledged |
| CERT-FR (ANSSI) | Licence Ouverte / Etalab 2.0 |
| NVD (NIST) via fkie-cad/nvd-json-data-feeds | Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD |