CVE-2026-17544 — PHP bcmath bccomp() आउट-ऑफ-बाउंड लेखन (स्टैक स्मैशिंग)

CVSS 9.8 (गंभीर) · CWE-787 · GHSA-x692-q9x7-8c3f

सारांश

ext/bcmath/libbcmath/src/str2num.c (वेंडर किया गया libbcmath, PHP 8.4+) में स्थित bc_str2num() में एक off-by-N आउट-ऑफ-बाउंड लेखन शामिल है। जब उपयोगकर्ता द्वारा आपूर्ति किया गया scale, ऑपरेंड के स्वचालित स्केल से छोटा होता है, तो भिन्नांश छोटा कर दिया जाता है और फिर एक अंतिम-शून्य ट्रिम fractional_end को अद्यतन किए बिना चलता है। बफ़र ट्रिम किए गए (छोटे) आकार के लिए आवंटित किया जाता है, लेकिन कॉपी बिना-ट्रिम लंबाई का उपयोग करती है → हीप/स्टैक बफ़र ओवरफ़्लो।

प्रभावित: PHP 8.4.* < 8.4.24, 8.5.* < 8.5.9 सुधार: PHP 8.4.24 / 8.5.9 (2026-07-30), commit fa18dab73f93 / ce2ec8a70755 रिपोर्टकर्ता श्रेय: Recep Asan (recepasan)

मूल कारण

// ext/bcmath/libbcmath/src/str2num.c — bc_str2num()
str_scale -= fractional_end - fractional_new_end;   // fractional_end NOT updated here
...
bc_new_num_nonzeroed(digits, str_scale)            // allocates SHORT (trimmed) buffer
bc_copy_and_toggle_bcd(nptr, fractional_ptr, fractional_end)  // copies UNTRIMMED length

एक-पंक्ति सुधार (fractional_end = fractional_new_end;) के साथ रिग्रेशन टेस्ट ext/bcmath/tests/GHSA-x692-q9x7-8c3f.phpt को 8.4.24/8.5.9 में मर्ज किया गया।

ट्रिगर (सत्यापित)

bccomp("1." . "9" . str_repeat("0", 300) . "1", "0", 300);

2026-08-12 को Raspberry Pi 5 (arm64) पर Docker के माध्यम से सत्यापित किया गया।

उपयोग

# Vulnerable PHP:
docker run --rm -v "$PWD":/app -w /app php:8.4.23-cli sh -c \
  'docker-php-ext-install bcmath >/dev/null 2>&1 && php trigger.php'
# -> stack smashing detected (exit 133)

# Patched PHP:
docker run --rm -v "$PWD":/app -w /app php:8.4.24-cli sh -c \
  'docker-php-ext-install bcmath >/dev/null 2>&1 && php trigger.php'
# -> int(1), exit 0

प्रभाव

• रिमोट DoS: कोई भी सेवा जो bccomp() को हमलावर-नियंत्रित ऑपरेंड/स्केल भेजती है, उसे नियतात्मक रूप से क्रैश किया जा सकता है (8.4/8.5, स्टैक-प्रोटेक्टर बिल्ड एबॉर्ट हो जाते हैं; गैर-संरक्षित बिल्ड सहेजे गए रजिस्टर/रिटर्न एड्रेस को दूषित करते हैं)।
• RCE: सैद्धांतिक रूप से heap grooming के माध्यम से संभव है, लेकिन OOB बाइट्स केवल BCD मानों (0x00–0x09) तक सीमित हैं और ओवरफ़्लो आकार = ट्रिम किए गए शून्यों की संख्या — कठिन है, प्रदर्शित नहीं किया गया।

संदर्भ

• GHSA: https://github.com/php/php-src/security/advisories/GHSA-x692-q9x7-8c3f
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-17544
• सुधार 8.4: fa18dab73f93 · सुधार 8.5: ce2ec8a70755