Debian DSA-3380-1：php5 - セキュリティ更新

medium Nessus プラグイン ID 86618

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Web アプリケーションの開発でよく使用される汎用スクリプト言語である PHP に、2 つの脆弱性が見つかりました。

- CVE-2015-7803 phar 拡張が、存在しないファイルを参照するリンクを含む tar アーカイブを処理するときの NULL ポインターデリファレンスでクラッシュする可能性があります。これにより、サービス拒否が引き起こされる可能性があります。

- CVE-2015-7804 phar 拡張が、名前に「/」があるアーカイブファイルで見つかったディレクトリエントリを適切に処理しません。これは、サービス拒否や情報漏洩につながる可能性があります。

Debian 安定版（stable）（jessie）の更新には、Upstream 変更ログに説明されている通り、PHP Upstream バージョン 5.6.14 からの付随的なバグ修正が含まれています：

- 旧安定版（oldstable）ディストリビューション（wheezy）のユーザーへの注意：PHP 5.4 は、2015 年 9 月 14 日にサポートが終了しています。このため、新しい Upstream リリースはありません。Debian 旧安定版（oldstable）（wheezy）の PHP 5.4 のセキュリティサポートは、ベストエフォートのみとなるため、PHP 5.6 が含まれる最新の Debian 安定版（stable）リリース（jessie）へアップグレードすることが強く推奨されます。

ソリューション

php5 パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション (wheezy) では、これらの問題は、バージョン 5.4.45-0+deb7u2.で修正済みです。

安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン 5.6.14+dfsg-0+deb8u1 で修正されています。