CentOS Linux 8.4 [TuxCare] セキュリティ更新:php/php-dba/php-devel/php-enchant/php-fpm/php-gd/etc 複数の脆弱性(CENTOS8.4:CLSA-2025:1753793859)

critical Nessus プラグイン ID 353300

Language:

概要

CentOS Linuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

CentOS Linux 8.4 ホストには、TuxCare CENTOS8.4:CLSA-2025:1753793859アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- PHPバージョン:8.1.33より前の8.1.*、8.2.29より前の8.2.*、8.3.23より前の8.3.*、8.4.10より前の8.4.*では、fsockopen()などの一部の関数は、指定されたホスト名にnull文字が含まれていないことを検証しません。
これにより、parse_url() のような他の関数がホスト名を違った方法で扱うことがあり、ユーザーコードがそのような関数を使用してアクセスする前にアクセスチェックを実装する場合、セキュリティ問題が発生する可能性があります。
(CVE-2025-1220)

- PHPバージョン:8.1.33 より前の 8.1.*、8.2.29 より前の 8.2.*、8.3.23 より前の 8.3.*、8.4.* pgsql および pdo_pgsql エスケープ関数は、下層の引用関数がエラーを返したかどうかをチェックしません。これにより、Postgresサーバーが文字列を無効として拒否した場合に、クラッシュを引き起こす可能性があります。(CVE-2025-1735)

- PHPバージョン:8.1.33より前の8.1.*、8.2.29より前の8.2.*、8.3.23より前の8.3.*、8.4.10より前の8.4.*で、SOAP拡張機能でXMLデータを解析するとき、過度に大きい(>2Gb)XML名前空間プレフィックスは、NULLポインターデリファレンスを引き起こす可能性があります。これにより、クラッシュが発生し、ターゲットサーバーの可用性に影響を与えることがあります。(CVE-2025-6491)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。