Crash in unserialize()

Description

Originally reported by @calysteon.

<?php
class Trigger {
    public function __destruct() {
        @unserialize('i:1;');
    }
}

$payload = 'a:1019:{';
for ($i = 0; $i < 1017; $i++) {
    $payload .= "i:$i;s:1:\"A\";";
}
// Entry that overflows into a second var_entries block
$payload .= 'i:1017;O:7:"Trigger":0:{}';
// Duplicate key overwrites Trigger, pushing it to dtor list (refcount stays at 1)
$payload .= 'i:1017;i:0;}';

$result = @unserialize($payload);

PHP Version

-

Operating System

No response

まず、提供された PHP 再現プログラムを実行し、例に示されているデストラクタをトリガーする動作を含めて、unserialize() のエントリーポイントを追跡します。完了条件は、この payload で PHP がクラッシュしなくなり、適切なテストでリグレッションがカバーされていることです。