リモートのDebian 11ホストには、dla-4254アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    -------------------------------------------------- ----------------------- Debian LTS アドバイザリ DLA-4254-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 7 月 27 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージphp7.4バージョン7.4.33-1+deb11u9 CVE ID CVE-2025-1220 CVE-2025-1735 CVE-2025-6491

    広く使用されているオープンソース汎用スクリプト言語である PHP に複数のセキュリティの問題が見つかりました。これにより、サーバー側のリクエスト偽造またはサービス拒否が引き起こされる可能性があります。

    CVE-2025-1220

        Jihwan Kim 氏は、fsockopen() で、提供されたホスト名に null 文字が含まれていないことを発見しました。これにより、parse_url() などの他の関数がホスト名を不適切に処理し、サーバーサイドリクエスト偽造を引き起こす可能性があります。

    CVE-2025-1735

        pgsql および pdo_pgsql のエスケープ関数は、下層の引用関数がエラーを返すかどうかをチェックしていないことが判明しました。これにより、NULL ポインターデリファレンスによりクラッシュが発生する可能性があります。

        この問題は、PostgreSQL で報告された CVE-2025-1094 に関連しています。

    CVE-2025-6491

        Ahmed Leksays 氏は、2G より大きい完全修飾名で作成された SoapVar インスタンスが、null ポインターデリファレンスによるサービス拒否につながる可能性があることを発見しました。

    Debian 11 Bullseyeでは、これらの問題はバージョン7.4.33-1+deb11u9で修正されました。

    お使いの php7.4 パッケージをアップグレードすることを推奨します。

    php7.4 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
    https://security-tracker.debian.org/tracker/php7.4

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian dla-4254 : libapache2-mod-php7.4 - セキュリティ更新

medium Nessus プラグイン ID 242899

バージョン 1.1