CVE-2025-14177 — Perdita di memoria heap in PHP getimagesize()

Solo per test di penetrazione autorizzati e ricerca sulla sicurezza.

Vulnerabilità

Versioni affette

• PHP < 8.1.34
• PHP < 8.2.30
• PHP < 8.3.29
• PHP < 8.4.16
• PHP < 8.5.1

Corretto in

• PHP 8.1.34 / 8.2.30 / 8.3.29 / 8.4.16 / 8.5.1

Meccanica del bug

getimagesize("php://filter/.../resource=malicious.jpg", $info)
    └─ php_read_stream_all_chunks()
        ├─ Chunk 1 (8KB) → memcpy(buffer+0, chunk1, 8192)
        ├─ Chunk 2 (8KB) → memcpy(buffer+0, chunk2, 8192)  ← overwrites!
        └─ $info['APP1'] = chunk2 + uninitialized heap garbage

Un JPEG malevolo trasporta un marcatore APP1 sovradimensionato (16KB) per forzare il percorso di lettura multi-blocco. Il campo APP1 restituito perde memoria heap che può contenere credenziali, token, dati di sessione o puntatori ASLR.

Flusso dell'attacco

[1] RECON      Find PHP app exposing getimagesize() output (APP1 field)
[2] PREP       Craft malicious.jpg (APP1 = 16KB)
[3] EXPLOIT    Upload → trigger getimagesize($file, $info)
[4] EXTRACT    Parse $info['APP1'] for leaked heap data
[5] IMPACT     Credential theft / token extraction / ASLR bypass

Utilizzo

python3 CVE-2025-14177.py [mode]

Output (./exploit_output/)

exploit_output/
├── malicious.jpg          # payload JPEG appositamente creato (APP1 = 16KB)
├── exploit_standalone.php # exploit PHP distribuibile
├── exploit_report.json    # rapporto di analisi completo
└── test_cases.json        # 3 scenari di test

Scenari di test

Rilevamento

• Marcatori APP1 grandi nei caricamenti JPEG (> 8192 byte)
• Pattern di memoria insoliti nell'array $info
• Chiamate ripetute a getimagesize() con wrapper php://filter
• Esfiltrazione di dati codificati in esadecimale nelle risposte

Mitigazione

Aggiornare PHP alla versione corretta. Nessuna soluzione alternativa — la patch è obbligatoria.

php -v  # verify version

Se l'aggiornamento è bloccato: rimuovere APP1 da $info prima di restituirlo al client, o disabilitare php://filter in allow_url_fopen.

Dichiarazione di non responsabilità

Questo strumento è solo per test di sicurezza autorizzati. L'uso non autorizzato contro sistemi di cui non si possiede la proprietà o per i quali non si ha esplicita autorizzazione scritta è illegale.