CVE-2019-11038
Uninitialized read in gdImageCreateFromXbm
CVSS 3.1Low
3.1/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите PHP до версий 7.1.30, 7.2.19, 7.3.6 или выше, содержащих обновленную сборку LibGD с исправленной инициализацией переменных.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Чтение неинициализированной переменной стека в функции gdImageCreateFromXbm библиотеки LibGD 2.2.5. Уязвимость затрагивает расширение GD в PHP 7.1, 7.2 и 7.3.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
При обработке специально сформированных файлов формата XBM функция gdImageCreateFromXbm() обращается к неинициализированной переменной, считывая остаточные данные из стека вызовов.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Утечка конфиденциальных фрагментов памяти стека процесса PHP, что может способствовать обходу механизмов рандомизации адресного пространства (ASLR).
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (18)
- lists.fedoraproject.orghttps://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/PKSSWFR2WPMUOIB5EN5ZM252NNEPYUTG/
- lists.fedoraproject.orghttps://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WAZBVK6XNYEIN7RDQXESSD63QHXPLKWL/
- lists.debian.orghttps://lists.debian.org/debian-lts-announce/2019/06/msg00003.html
- bugs.php.nethttps://bugs.php.net/bug.php?id=77973
- github.comhttps://github.com/libgd/libgd/issues/501
- bugs.debian.orghttps://bugs.debian.org/cgi-bin/bugreport.cgi?bug=929821
- bugzilla.suse.comhttps://bugzilla.suse.com/show_bug.cgi?id=1140118
- bugzilla.suse.comhttps://bugzilla.suse.com/show_bug.cgi?id=1140120
- bugzilla.redhat.comhttps://bugzilla.redhat.com/show_bug.cgi?id=1724149
- bugzilla.redhat.comhttps://bugzilla.redhat.com/show_bug.cgi?id=1724432
- access.redhat.comhttps://access.redhat.com/errata/RHSA-2019:2519
- www.debian.orghttps://www.debian.org/security/2019/dsa-4529
- seclists.orghttps://seclists.org/bugtraq/2019/Sep/38
- access.redhat.comhttps://access.redhat.com/errata/RHSA-2019:3299
- lists.opensuse.orghttp://lists.opensuse.org/opensuse-security-announce/2020-03/msg00020.html
- lists.fedoraproject.orghttps://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/3CZ2QADQTKRHTGB2AHD7J4QQNDLBEMM6/
- usn.ubuntu.comhttps://usn.ubuntu.com/4316-2/
- usn.ubuntu.comhttps://usn.ubuntu.com/4316-1/
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2019-11038: Uninitialized read in gdImageCreateFromXbm. URL: https://cve.futuretools.ru/cve/CVE-2019-11038
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2019_11038,
title = {{CVE-2019-11038: Uninitialized read in gdImageCreateFromXbm}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2019-11038}},
note = {Оперативный инженерный анализ киберугроз}
}