KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2022-37454 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
XKCP是XKCP开源的一个扩展 Keccak 代码包。
XKCP SHA-3存在安全漏洞，该漏洞源于攻击者可以通过其sponge函数接口实现整数溢出导致执行任意代码或消除预期的加密属性。
影响范围
应用：extended_keccak_code_package_project extended_keccak_code_package（版本 -）
系统：alibaba_cloud_linux_3 php（影响面 Up to (excluding) 7.4.33-1.0.1.al8）
系统：alma_linux_9 php（影响面 Up to (excluding) 8.0.27-1.el9_1）
系统：alpine_3.14 php7（影响面 Up to (excluding) 7.4.33-r0）
系统：alpine_3.15 php7（影响面 Up to (excluding) 7.4.33-r0）
系统：alpine_3.16 php8（影响面 Up to (excluding) 8.0.25-r0）
系统：alpine_3.17 php81（影响面 Up to (excluding) 8.1.12-r0）
系统：alpine_3.18 php81（影响面 Up to (excluding) 8.2.0_rc5-r0）
……另有 31 项受影响环境，详见官方公告
解决方案
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://github.com/XKCP/XKCP/commit/fdc6fef075f4e81d6b1bc38364248975e08e340a
参考信息
https://cert-portal.siemens.com/productcert/html/ssa-398330.html
https://cert-portal.siemens.com/productcert/html/ssa-455250.html
https://cert-portal.siemens.com/productcert/html/ssa-806742.html
https://csrc.nist.gov/projects/hash-functions/sha-3-project
https://eprint.iacr.org/2023/331
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。