PHP Session_Regenerate_ID函數雙釋放內存破壞漏洞

更新時間：2011年01月27日 21:52:48 作者：

PHP Session_Regenerate_ID函數存在雙釋放內容破壞問題，遠程攻擊者可利用此漏洞對應用程序進行拒絕服務攻擊，可能導致任意指令執(zhí)行。

SEBUG-ID:1491

SEBUG-Appdir:PHP
發(fā)布時間:2007-03-17
影響版本:
PHP PHP 5.2.1
PHP PHP 5.1.6
PHP PHP 5.1.5
PHP PHP 5.1.4
PHP PHP 5.1.3
PHP PHP 5.1.3
PHP PHP 5.1.2
PHP PHP 5.1.1
PHP PHP 5.1
PHP PHP 5.0.5
PHP PHP 5.0.4
PHP PHP 5.0.3
+ Trustix Secure Linux 2.2
PHP PHP 5.0.2
PHP PHP 5.0.1
PHP PHP 5.0 candidate 3
PHP PHP 5.0 candidate 2
PHP PHP 5.0 candidate 1
PHP PHP 5.0 .0
PHP PHP 5.2
漏洞描述:
PHP是一款廣泛使用的WEB開發(fā)腳本語言。
PHP Session_Regenerate_ID函數存在雙釋放內容破壞問題，遠程攻擊者可利用此漏洞對應用程序進行拒絕服務攻擊，可能導致任意指令執(zhí)行。
session_regenerate_id()函數最先會釋放舊的會話識別器，然后馬上分配由會話識別生成器生成的新值：

復制代碼代碼如下:

 
PHP_FUNCTION(session_regenerate_id) 
{ 
... 
if (PS(id)) { 
... 
efree(PS(id)); 
} 
PS(id) = PS(mod)->s_create_sid(&PS(mod_data), NULL TSRMLS_CC); 
PS(send_cookie) = 1; 
php_session_reset_id(TSRMLS_C); 
RETURN_TRUE; 
} 
RETURN_FALSE; 
} 

但是此分配操作不是一個原子操作。因此可被如內存限制沖突操作來中斷，另外，根據PHP配置，生成器可觸發(fā)PHP錯誤也可導致一個中斷。

復制代碼代碼如下:

 
PHPAPI char *php_session_create_id(PS_CREATE_SID_ARGS) 
{ 
... 
switch (PS(hash_func)) { 
... 
default: 
php_error_docref(NULL TSRMLS_CC, E_ERROR, "Invalid session hash function"); 
efree(buf); 
return NULL; 
} 
... 
if (PS(hash_bits_per_character) < 4 
|| PS(hash_bits_per_character) > 6) { 
PS(hash_bits_per_character) = 4; 
php_error_docref(NULL TSRMLS_CC, E_WARNING, "The ini setting hash_bits_per_character..."); 
} 
... 

通過注冊一個惡意用戶空間錯誤處理器可比較容易的利用此問題。當此處理器調用一個HASH表分配到前會話識別器相同的地方，然后惡意錯誤處理器可以通過調用session_id()函數和分配包含偽造HASH表到HASH表相同地方，這樣來觸發(fā)另一個之前的會話識別器的釋放操作。當用戶錯誤處理器完成后會解構覆蓋的HASH表而調用攻擊者提供的代碼。
http://www.php-security.org/MOPB/MOPB-22-2007.html
測試方法:
[www.sebug.net]
本站提供程序(方法)可能帶有攻擊性,僅供安全研究與教學之用,風險自負!
http://www.php-security.org/MOPB/code/MOPB-22-2007.php
SEBUG安全建議:
目前沒有解決方案提供：

您可能感興趣的文章: