AlmaLinux 9.2 [TuxCare] セキュリティ更新:php/php-bcmath/php-cli/php-common/php-dba/php-dbg/etcの複数の脆弱性(ALMALINUX9.2:CLSA-2025:1739821812)

medium Nessus プラグイン ID 362360

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2025:1739821812アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- PHP バージョン 8.1.29 より前の 8.1.*、8.2.20 より前の 8.2.*、8.3.8 より前の 8.3.* では、コードロジックエラーにより、特定のタイプの URL に対する URL (FILTER_VALIDATE_URL) を検証する際の filter_var などのフィルタリング機能は、無効なユーザー情報 (URL のユーザー名 + パスワードの部分) を有効なユーザー情報として処理する可能性があります。これにより、ダウンストリームコードが無効な URL を有効なものとして受け入れ、不適切に解析する可能性があります。(CVE-2024-5458)

- PHP バージョンの 8.1.30 より前の 8.1.*、8.2.24 より前の 8.2.*、8.3.12 より前の 8.3.* では、HTTP POST リクエストに含まれるマルチパートフォームデータの誤った解析により、正当なデータが処理されない可能性があります。
これにより、悪質な攻撃者が他のデータの一部を除外できる送信されたデータの一部を制御し、アプリケーションが誤った動作をする可能性があります。(CVE-2024-8925)

- PHP のバージョン 8.1.30 より前の 8.1.*、8.2.24 より前の 8.2.*、8.3.12 より前の 8.3.* では、PHP-FPM SAPI を使用し catch_workers_output = yes によりワーカー出力をキャッチするように構成されている場合、ログメッセージのコンテンツを操作することで、最終的なログを汚染したりログメッセージから最大 4 文字を削除したりできる可能性があります。
さらに、PHP-FPM が syslog 出力を使用するように構成されている場合、同じ脆弱性を使用してログデータをさらに削除できる可能性があります。(CVE-2024-9026)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。