CVE-2025-43960 - Adminer < 4.8.1 में Monolog के माध्यम से PHP Object Injection - Denial of Service (DoS)

MITRE से प्रतिक्रिया की प्रतीक्षा करने के महीनों के बाद, मैंने Adminer सेवा (<4.8.1) के विरुद्ध PHP Object Injection हमले के साथ CVE-2025-43960 प्राप्त किया, जो मेमोरी मैनिपुलेशन के माध्यम से Denial of Service (DoS) का कारण बनता है।

https://github.com/user-attachments/assets/ebf7d8e8-01db-4d02-bb12-33321c749458

सारांश

यह कमजोरी दूरस्थ, अप्रमाणित हमलावरों को Monolog का उपयोग करके Adminer 4.8.1 इंस्टेंस का शोषण करने की अनुमति देती है, जिससे PHP Object Injection के माध्यम से Denial of Service (DoS) होता है। हमले के वेक्टर के लिए किसी प्रमाणीकरण या उपयोगकर्ता इंटरैक्शन की आवश्यकता नहीं है, जो इसे एक उच्च-गंभीरता वाला मुद्दा (CVSS 7.5) बनाता है जिसमें कुछ साझा वातावरणों में 8.6 तक बढ़ने की संभावना है।

सुझाया गया विवरण

Adminer 4.8.1, जब लॉगिंग के लिए Monolog का उपयोग करता है, एक s:1000000000 स्ट्रिंग जैसे क्राफ्टेड सीरियलाइज़्ड पेलोड के माध्यम से एक denial of service (मेमोरी खपत) की अनुमति देता है, जिसे PHP Object Injection समस्या भी कहा जाता है। यह कमजोरी Adminer इंस्टेंस को प्रभावित करती है जो लॉगिंग के लिए Monolog का उपयोग करते हैं, जहाँ अविश्वसनीय उपयोगकर्ता इनपुट बिना उचित सत्यापन के deserialize किया जाता है। एक बड़े deserialized ऑब्जेक्ट को भेजकर, एक हमलावर उच्च मेमोरी खपत को बाध्य कर सकता है, जिससे Adminer इंटरफ़ेस अनुत्तरदायी हो जाता है और सर्वर-व्यापी DoS होता है।

CVE-2025-43960

सबसे लोकप्रिय

CVSS स्कोर v3.1

अतिरिक्त जानकारी

संभावित शमन उपाय

उत्पाद का विक्रेता

प्रभावित उत्पाद कोड बेस

प्रभावित घटक

समस्याग्रस्त सुविधा

संभावित प्रभावित क्षेत्र

प्रूफ ऑफ कॉन्सेप्ट (PoC)

स्थापना आवश्यकताएँ

Python निर्भरताएँ

स्थापित करें

शोषण का उपयोग:

संदर्भ

खोजकर्ता