Debian DSA-2943-1：php5 - セキュリティ更新

high Nessus プラグイン ID 74279

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Web アプリケーションの開発でよく使用される汎用スクリプト言語である PHP に、いくつかの脆弱性が見つかりました。

- CVE-2014-0185 デフォルト PHP FPM ソケット権限が 0666 から 0660 に変更されて、PHP FPM のセキュリティの脆弱性（CVE-2014-0185）が緩和されました。この脆弱性により、任意のローカルユーザーが、細工された FastCGI クライアントを介して、FPM プロセスのアクティブユーザーとして PHP コードを実行する可能性がありました。

現在、Debian のデフォルト設定は、listen.owner および listen.group を、デフォルトの php-fpm.conf の www-data:www-data に正しく設定するようになりました。追加の FPM インスタンスがある場合または www-data ユーザーとして実行されていない Web サーバーがある場合は、/etc/php5/fpm/pool.d/ の FPM プールの構成を調整して、アクセスプロセスにソケットへのアクセス権利を持たせる必要があります。

- CVE-2014-0237 / CVE-2014-0238 fileinfo モジュールの CDF パーサーに存在するサービス拒否。

- CVE-2014-2270 fileinfo モジュールのサービス拒否。