CVE-2025-14177 — PHP getimagesize() Heap-Speicherleck

Nur für autorisierte Penetrationstests und Sicherheitsforschung.

Schwachstelle

Betroffene Versionen

• PHP < 8.1.34
• PHP < 8.2.30
• PHP < 8.3.29
• PHP < 8.4.16
• PHP < 8.5.1

Behoben in

• PHP 8.1.34 / 8.2.30 / 8.3.29 / 8.4.16 / 8.5.1

Mechanik des Fehlers

getimagesize("php://filter/.../resource=malicious.jpg", $info)
    └─ php_read_stream_all_chunks()
        ├─ Chunk 1 (8KB) → memcpy(buffer+0, chunk1, 8192)
        ├─ Chunk 2 (8KB) → memcpy(buffer+0, chunk2, 8192)  ← overwrites!
        └─ $info['APP1'] = chunk2 + uninitialized heap garbage

Ein bösartiges JPEG trägt einen überdimensionierten APP1-Marker (16KB), um den Mehrfachblock-Lesevorgang zu erzwingen. Das zurückgegebene APP1-Feld gibt Heap-Speicher preis, der Anmeldeinformationen, Token, Sitzungsdaten oder ASLR-Zeiger enthalten kann.

Angriffsablauf

[1] RECON      Find PHP app exposing getimagesize() output (APP1 field)
[2] PREP       Craft malicious.jpg (APP1 = 16KB)
[3] EXPLOIT    Upload → trigger getimagesize($file, $info)
[4] EXTRACT    Parse $info['APP1'] for leaked heap data
[5] IMPACT     Credential theft / token extraction / ASLR bypass

Verwendung

python3 CVE-2025-14177.py [mode]

Ausgabe (./exploit_output/)

exploit_output/
├── malicious.jpg          # crafted JPEG payload (APP1 = 16KB)
├── exploit_standalone.php # deployable PHP exploit
├── exploit_report.json    # full analysis report
└── test_cases.json        # 3 test scenarios

Testszenarien

Erkennung

• Große APP1-Marker in JPEG-Uploads (> 8192 Bytes)
• Ungewöhnliche Speichermuster im $info-Array
• Wiederholte getimagesize()-Aufrufe mit php://filter-Wrappern
• Hex-kodierte Datenexfiltration in Antworten

Abhilfe

Aktualisieren Sie PHP auf die gepatchte Version. Keine Alternative – Patch erforderlich.

php -v  # verify version

Falls Upgrade blockiert: Entfernen Sie APP1 aus $info, bevor Sie es an den Client zurückgeben, oder deaktivieren Sie php://filter in allow_url_fopen.

Haftungsausschluss

Dieses Tool ist nur für autorisierte Sicherheitstests bestimmt. Die nicht autorisierte Nutzung gegen Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche schriftliche Erlaubnis zum Testen haben, ist illegal.