5.5.2 より前の PHP のセッションサブシステムにおけるセッション固定の脆弱性により、リモートの攻撃者が、セッション ID を指定することで Web セッションをハイジャックする可能性があります。

PHP 5.4.18より前および 5.5.2より前の 5.5.xの OpenSSL モジュール内の openssl.c の openssl_x509_parse 関数が、X.509 証明書の Subject Alternative Name フィールドのドメイン名の中の「\0」文字を適切に処理せず、これによって中間者攻撃者が、正当な証明機関が発行した細工された証明書を介して、任意の SSL サーバーになりすますことが可能です。これは CVE-2009-2408に関連する問題です。

検出

Amazon Linux AMI：php54 (ALAS-2013-224)

medium Nessus プラグイン ID 70228

変更ログが見つかりません