Es ging hierrum:
Ungepatcher Buffer-Overflow in allen PHP Versionen < 26.3.2022
Update zum Buffer-Overflow in PHP
Aus dem Umfeld(Autor bekannt) der PHP Security Liste kam dazu folgende Info:
„Wir haben das nicht als SicherheitslĂŒcke klassifiziert, weil man das mit einem (ungenannten) MemoryLimit blockieren kann.“
Und, „es wurde nur in 8.0+ gefixt, nicht in 7.4“ đ Aber, sagen können die ja viel, ausprobieren hilft:
[Wed Mar 30 22:10:37.167712 2022] [cgid:error] [pid 587854:tid 587945] [client x.x.x.x:41412] AH01215: stderr from /etc/httpd/bin/cgiwrap64: PHP Fatal error: Allowed memory size of 536.870.912 bytes exhausted (tried to allocate 4.294.967.318 bytes) in /home/linux-am-dienstagde/public_html/php7.4.x-exploit.php on line 3
ErklĂ€rung: „4G“ will er, „512M“ sind in der Master php.ini als Limit drin und unsere ProzessĂŒberwachung muĂten wir auch noch ĂŒberreden damit, noch mal etwas mehr RAM drauf geworfen werden konnte:
[Wed Mar 30 22:17:20.266256 2022] [cgid:error] [pid 1060712:tid 1060735] [client x.x.x.x:41464] AH01215: stderr from /etc/httpd/bin/cgiwrap64: PHP Fatal error: Allowed memory size of 2.122.317.824 bytes exhausted (tried to allocate 4.294.967.318 bytes) in /home/linux-am-dienstagde/public_html/php7.4.x-exploit.php on line 5
Ist eher unwahrscheinlich, daĂ man bei einem Hoster ĂŒber 4 GB allokieren darf, pro Script. Ich halt es aber nicht gĂ€nzlich fĂŒr ausgeschlossen đ
Die SicherheitslĂŒcke ist dann also eher theoretischer Natur.