CVE-2022-31630: قراءة خارج النطاق بسبب عدم كفاية التحقق من صحة الإدخال في imageloadfont() | Kitploit

CVE-2022-31630

عاليتم النشر

قراءة خارج النطاق بسبب عدم كفاية التحقق من صحة الإدخال في imageloadfont()

تم النشر: 14‏/11‏/2022
محدث: 03‏/08‏/2024
تخصيص CNA: php
الأدلة المرصودة: 08‏/08‏/2026

CVSS الأساسي

7.1/ 10عالي

nvd · CVSS 3.1

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H

تقدير احتمالية EPSS

2.3‎%‎

منخفض · الثلاثين يومًا القادمة

المئوية: 82.2‎%‎
تاريخ الموديل: 21‏/09‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

ملخص

في إصدارات PHP السابقة للإصدارات 7.4.33 و8.0.25 و8.1.12، عند استخدام دالة imageloadfont() في امتداد gd، من الممكن توفير ملف خط مصمم خصيصًا، بحيث إذا تم استخدام الخط المحمّل مع دالة imagechar()، فسيتم استخدام القراءة خارج المخزن المؤقت المخصص. يمكن أن يؤدي هذا إلى تعطل النظام أو الكشف عن معلومات سرية.

المصادر

CVE-2022-31630---Proof-of-Concept-Exploit-untuk-PHP-7.4.33PoC
إثبات مفهوم للاستغلال لـ CVE-2022-31630، ثغرة قراءة خارج النطاق في وظيفة imageloadfont() الخاصة بامتداد GD في PHP، تؤثر على PHP 7.4.x قبل الإصدار 7.4.33.
php-exploit_cve-2022-31630PoC
استغلال إثبات المفهوم لـ CVE-2022-31630، وهي ثغرة قراءة خارج الحدود في امتداد GD الخاص بـ PHP. يوضح الانهيار وكشف الذاكرة في إصدارات PHP المتأثرة. يتضمن مختبرًا قائمًا على Docker للاختبار الآمن.

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.