PHP、Brotliの修正を含むWindowsパッケージを再配布

サーバーは、サイト訪問者の要求を処理し、必要な情報を返すコンピューターです。PHPはWordPressなどでこの処理を動かすプログラムで、cURL拡張はPHPから別のサーバーへ情報を取り寄せる通信の道具です。Brotliは転送量を減らす圧縮方式で、デコーダーは届いたデータを読める形に戻す部品です。

自動展開を有効にした架空のお店のサーバーが、外部サービスから価格表を取り寄せる場面を考えます。普段は圧縮された応答を展開して価格を読みます。ここでは外部サービスが侵害され、攻撃者の細工した応答を返したと仮定します。そのデータを修正前のデコーダーが処理すると、欠陥に到達する可能性があります。

%% 架空の価格表サービスが侵害された場合の入力経路・PHPとcURLの文書に基づく
flowchart TD
  A["お店のWindows PHPサーバー"] -->|"価格表を要求"| B["仮定：外部サービスが侵害"]
  B -->|"細工したBrotli応答"| C["cURLの自動展開が有効"]
  C --> D["修正前のデコーダーが処理"]

PHPの案内では、cURLでHTTP応答の自動展開を有効にすると、問題のデコーダーに到達する可能性があると説明しています。cURLの初期設定では無効ですが、アプリや通信用のライブラリが有効にすることがあります。管理者が自分で有効にしていなくても、アプリの設定を調べる理由はここにあります。自動展開の設定

メモリは、動作中のプログラムが情報を一時的に置く作業場所です。今回の欠陥では、形式の壊れた圧縮データを処理する際に、決められた作業場所の外まで書き込むことがあります。Brotli開発チームは1.2.1で修正したと発表し、同じCVEを扱うNode.jsの案内は、メモリの破損が処理の停止、情報の漏えい、条件によってはコードの実行につながり得ると説明しています。Brotliのリリース・Node.jsの説明

作業場所の隣には、ほかのデータや、プログラムが次の処理へ進むための情報が置かれている場合もあります。その情報を上書きすると、後で読み取るプログラムが止まったり、意図しない動きをしたりすることがあります。下の表はこの一般原理を作業場所にたとえたもので、今回のPHPの実際のメモリ配置や攻撃成功を再現したものではありません。セキュリティ上の弱点を分類するCWEの説明

インストール用のパッケージには、PHP本体のほか、通信や圧縮に使う依存部品が入ります。今回の公式Windows再配布物は次の対応です。

たとえば、公式WindowsパッケージでPHP 8.4.27を使うサイトなら、8.4.27-1の配布物を探します。管理画面のPHPの番号だけではBrotliの修正まで分からないため、インストールしたパッケージ名・改訂番号と、配布元の修正記録を合わせて見ます。

OSやインストール方法が分からなければ、サーバー担当者へ先に尋ねます。ホスティング会社が独自のパッケージを提供している場合は、その配布物に修正が含まれる根拠を受け取ります。Windows向けの-1はLinuxサーバーの更新番号ではありません。

PHPのcURL情報には、使用中のBrotliのバージョンを示す項目があります。担当者はサイトの実行環境でこれを調べられます。コマンドラインで確認するPHPと、サイトを処理するPHPが別のインストールである場合もあるため、確認対象をそろえることが大切です。PHPのcURLバージョン情報

サーバーを変更する前にバックアップを確保し、既存の構成に合うパッケージを選びます。交換後は、動作中のWeb処理にも反映されたことと、既存の機能が動くことまで点検して対応を終えます。