Debian DSA-3008-1：php5 - セキュリティ更新

medium Nessus プラグイン ID 77307

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Web アプリケーションの開発でよく使用される汎用スクリプト言語である PHP に、いくつかの脆弱性が見つかりました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2014-3538：CVE-2013-7345 の元の修正が、この問題を十分に対処していなかったことが判明しました。
リモートの攻撃者が、awk 正規表現ルールの処理中にバックトラッキングを発生させる特別に細工された入力ファイルでサービス拒否（CPU 消費）を引き起こす可能性があります。

- CVE-2014-3587 fileinfo モジュールの CDF パーサーが、Composite Document File（CDF）形式において、無効な形式のファイルを適切に処理しないことが判明しました。これにより、クラッシュします。

- CVE-2014-3597：CVE-2014-4049 の元の修正が、この問題を完全に対処されていなかったことが判明しました。中間者攻撃の悪意のあるサーバーがサービス拒否（クラッシュ）を引き起こし、細工された DNS TXT レコードで任意のコードを実行する可能性があります。

- CVE-2014-4670 PHP が特定の SPL イテレータを不適切に処理したことが判明しました。ローカルの攻撃者がこの欠陥を使用して、PHP をクラッシュし、サービス拒否を引き起こす可能性があります。

ソリューション

php5 パッケージをアップグレードしてください。

安定版（stable）ディストリビューション（wheezy）に対して、これらの問題はバージョン 5.4.4-14+deb7u13 で修正されています。また、この更新には、本来は次回の Weeezy ポイントリリースを対象とした複数のバグ修正が含まれています。