Facebook telah menambal dua kerentanan tingkat keparahan tinggi dalam aplikasi servernya, HHVM, yang bisa memungkinkan penyerang jarak jauh untuk mendapatkan informasi sensitif tanpa izin atau menyebabkan penolakan layanan hanya dengan mengunggah file gambar JPEG yang dibuat secara jahat.

Kerentanan berada di server Facebook, HHVM (HipHop Virtual Machine) — mesin virtual open source berkinerja tinggi yang dikembangkan oleh Facebook untuk menjalankan program yang ditulis dalam bahasa pemrograman Hack dan PHP.

HHVM menggunakan pendekatan kompilasi just-in-time (JIT) untuk mencapai kinerja unggul dari kode Hack dan PHP Anda sambil mempertahankan fleksibilitas pengembangan yang disediakan oleh bahasa PHP.

Karena aplikasi server HHVM yang terkena dampak adalah open-source atau gratis, kedua masalah ini juga dapat berdampak pada situs web lain yang menggunakan HHVM, termasuk Wikipedia, Box dan terutama yang memungkinkan penggunanya untuk mengunggah gambar di server.

Kedua kerentanan, seperti yang tercantum di bawah ini, ada karena kemungkinan overflow memori dalam ekstensi GD HHVM ketika masukan JPEG tidak valid yang dibangun secara khusus dilewatkan. Yang menyebabkan out-of-bounds read — sebuah kerentanan yang memungkinkan program cacat membaca data dari luar batas memori yang dialokasikan.

  • CVE-2019-11925: Masalah pemeriksaan batas yang tidak memadai terjadi saat memproses penanda blok JPEG APP12 dalam ekstensi GD, memungkinkan penyerang potensial untuk mengakses memori di luar batas melalui input JPEG tidak sah yang dibuat dengan cara jahat.
  • CVE-2019-11926: Masalah pemeriksaan batas yang tidak memadai terjadi saat memproses penanda M_SOFx dari header JPEG dalam ekstensi GD, memungkinkan penyerang potensial mengakses memori di luar batas melalui input JPEG tidak sah yang dibuat dengan cara jahat.

Baca Juga : Malware RogueRobin Gunakan Google Drive sebagai command-and-control server

Kedua kerentanan ini mempengaruhi semua versi HHVM yang didukung sebelum 3.30.9, semua versi antara HHVM 4.0.0 dan 4.8.3, semua versi antara HHVM 4.9.0 dan 4.15.2, dan versi HHVM 4.16.0 hingga 4.16.3, 4.17 .0 hingga 4.17.2, 4.18.0 hingga 4.18.1, 4.19.0, 4.20.0 hingga 4.20.1.

Tim HHVM telah membahas kerentanan dengan merilis versi HHVM 4.21.0, 4.20.2, 4.19.1, 4.18.2, 4.17.3, 4.16.4, 4.15.3, 4.8.4, dan 3.30.10.

Jika situs web atau server kalian juga menggunakan HHVM, sangat disarankan untuk memperbaruinya ke versi perangkat lunak terbaru untuk menghindari hal-hal yang tidak diinginkan.

Keep UpToDate, Stay Save and Secure !


Like it? Share with your friends!

Abdul Latif

Comments

error: Content is protected !!