Escritura fuera de límites en PHP para Windows
Se ha detectado una vulnerabilidad clasificada como crítica en el componente Brotli que se incluye dentro de las compilaciones de PHP diseñadas para Windows. Las versiones afectadas de Brotli corresponden a los rangos específicos mencionados en el reporte, y el fallo puede manifestarse cuando se utiliza la extensión cURL si se encuentra activa la función de descompresión automática para las respuestas de tipo HTTP.
El problema de seguridad, identificado bajo un código de CVE específico, surge porque el sistema decodificador de Brotli efectúa una operación de escritura rebasando los límites asignados al búfer al momento de analizar un flujo con compresión que ha sido alterado. Esto da pie a que un agresor remoto que carece de autenticación logre dañar datos en la memoria, exponer información privada, causar la caída del servicio o lograr la ejecución de código.
Para solucionar este defecto, la recomendación oficial consiste en actualizar el software adquiriendo la compilación para Windows correspondiente mediante la página de descargas oficial, la cual integra una versión actualizada de Brotli. Cabe destacar que el número correspondiente a la versión principal del intérprete se mantiene sin cambios, identificándose la nueva compilación mediante un sufijo numérico específico.