php パッケージの更新では、以下のセキュリティの脆弱性が修正されます：

5.4.30 および 5.5.14 以前の PHP の unserialize() 関数には、 SPL ArrayObject および SPLObjectStorage型に関連した、型の取り違え（Type Confusion）問題が存在しています（CVE-2014-3515）。

PHP が DNS TXT 記録解析におけるヒープベースのバッファオーバーフローに脆弱であることが判明しました。悪意のあるサーバーや中間者攻撃を行う攻撃者はこの欠陥を利用し、PHP アプリケーションが DNS クエリを行うために dns_get_reccord() を使用していれば PHP インタープリターとして任意のコードを実行することができます（CVE-2014-4049）。

ファイルが Composite Document Files（CDF）からプロパティ情報を解析する方法で、欠陥が見つかりました。この状況では、mconvert() 関数が、切り捨てられたパスカル文字列サイズを適切に計算していませんでした（CVE-2014-3478）。

ファイルが Composite Document File（CDF）ファイルからプロパティから情報を解析していた方法で、複数の欠陥が見つかりました。この欠陥は、バッファ上の境界検査が不十分であったことが原因です（CVE-2014-0207、CVE-2014-3479、CVE-2014-3480、CVE-2014-3487）。

PHP は、ファイルユーティリティの libmagic ライブラリのバンドルコピーが含まれるため、この問題に対して脆弱です。これはバージョン 5.5.14 に更新され、この問題とその他のいくつかのバグを修正しました。

5.4.30 および 5.5.14 以前の PHO の phpinfo() 関数には、任意のプロセスメモリを漏洩させる型の取り違え（Type Confusion）問題が存在しています（CVE-2014-4721）。

また、php-apc は、更新済みの php パッケージに対してリビルトされており、 php-timezonedb パッケージは 2014.5 バージョンにアップグレードされています。

検出

Mandriva Linux セキュリティアドバイザリ：php（MDVSA-2014:130）

high Nessus プラグイン ID 76438

変更ログが見つかりません