php5 のこの更新は以下を修正します：CVE-2008-5624：CVSS v2 ベーススコア： 7.5（重要度高）（AV:N/AC:L/Au:N/C:P/I:P/A:P）：認可、権限、アクセスコントロール（CWE-264）CVE-2008-5625：CVSS v2 ベーススコア：7.5 （重要度高）（AV:N/AC:L/Au:N/C:P/I:P/A:P）：認可、権限、アクセスコントロール（CWE-264）CVE-2008-5814：CVSS v2 ベーススコア 2.6 （重要度低）（AV:N/AC:H/Au:N/C:N/I:P/A:N）：クロスサイトスクリプティング（XSS）（CWE-79）CVE-2009-2626：CVSS v2 ベーススコア：6.4（重要度中）（AV:N/AC:L/Au:N/C:P/I:N/A:P）：その他（CWE-その他）CVE-2009-2687： CVSS v2 ベーススコア：4.3（重要度中）（AV:N/AC:M/Au:N/C:N/I:N/A:P）：入力検証（CWE-20）CVE-2009-3546：CVSS v2 ベーススコア：4.4（重要度中）（AV:L/AC:M/Au:N/C:P/I:P/A:P）：その他（CWE-その他）CVE-2009-4017： CVSS v2 ベーススコア：5.0（重要度中）（AV:N/AC:L/Au:N/C:N/I:N/A:P）：その他（CWE-その他）CVE-2009-4142：CVSS v2 ベーススコア：4.3 （重要度中）（AV:N/AC:M/Au:N/C:N/I:P/A:N）：クロスサイトスクリプティング（XSS）（CWE-79）

ヒープベースのバッファオーバーフローの欠陥が PHP の mbstring 拡張機能で見つかりました。mbstring 変換関数を使用して PHP スクリプトに任意の入力を渡すことができるリモートの攻撃者は、PHP インタープリターをクラッシュさせたり、任意のコードを実行する可能性があります。
（CVE-2008-5557）

「mbstring.func_overload」の構成設定を取り扱う方法に欠陥が見つかりました。ある仮想ホストまたはユーザーの .htaccess ファイルに設定された値が、同じサーバーの他の仮想ホストに間違って適用されていたため、マルチバイト文字列の処理が正しく機能しませんでした。（CVE-2009-0754）

PHP の imageloadfont 関数でバッファオーバーフローの欠陥が見つかりました。PHP スクリプトにより、リモートの攻撃者が注意深く細工されたフォントファイルをロードできた場合、 PHP インタープリターをクラッシュさせたり、任意のコードを実行してしまう可能性があります。（CVE-2008-3658）

FastCGI モードで実行中の場合、PHP が特定のファイル拡張子を取り扱う方法に欠陥が見つかりました。FastCGI で PHP インタープリターを実行中の場合、リモートの攻撃者は PHP インタープリターをクラッシュさせるようなリクエストを作成することがあります。（CVE-2008-3660）

PHP が無効なクッキーのエラーを報告する方法に、クロスサイトスクリプティングの欠陥が見つかりました。PHP インタープリターが「display_errors」を有効にしていた場合、被害者のシステムに特別に細工されたクッキーを設定できるリモートの攻撃者は、PHP が生成するエラーメッセージに任意の HTML を注入する可能性があります。（CVE-2008-5814）- SL5 のみ

PHP gd 拡張子の imagerotate 関数でメモリリークの欠陥が見つかりました。関数の「background color」引数として任意の値を渡すことができるリモートの攻撃者は、PHP インタープリターのメモリの一部を表示できる可能性があります。（CVE-2008-5498）

変更を有効にするには、 httpd Web サーバーを再起動する必要があります。

この PHP5 の更新により、以下が修正されます。

- （CVE-2008-5624：CVSS v2 ベーススコア：7.5 （重要度高）（AV:N/AC:L/Au:N/C:P/I:P/A:P）：認可、権限、アクセスコントロール（CWE-264））

（CVE-2008-5625：CVSS v2 ベーススコア：7.5 （重要度高）（AV:N/AC:L/Au:N/C:P/I:P/A:P）：認可、権限、アクセスコントロール（CWE-264））

- クロスサイトスクリプティング（XSS）。（CWE-79）。（CVE-2008-5814：
CVSS v2 ベーススコア：2.6（重要度低）（AV:N/AC:H/Au:N/C:N/I:P/A:N））

- CVE-2009-2626：CVSS v2 ベーススコア：6.4（重要度中）（AV:N/AC:L/Au:N/C:P/I:N/A:P）：その他（CWE-Other）

- CVE-2009-2687：CVSS v2 ベーススコア：4.3（重要度中）（AV:N/AC:M/Au:N/C:N/I:N/A:P）：入力検証（CWE-20）

- CVE-2009-3546：CVSS v2 ベーススコア：4.4（重要度中）（AV:L/AC:M/Au:N/C:P/I:P/A:P）：その他（CWE-Other）

- CVE-2009-4017：CVSS v2 ベーススコア：5.0（重要度中）（AV:N/AC:L/Au:N/C:N/I:N/A:P）：その他（CWE-Other）

- クロスサイトスクリプティング（XSS）（CWE-79）。- CVE-2009-4142：
 CVSS v2 ベーススコア：4.3（重要度中）（AV:N/AC:M/Au:N/C:N/I:P/A:N））

この PHP5 の更新により、以下が修正されます。

- CVE-2008-5625：CVSS v2 ベーススコア：7.5（重要度高）（AV:N/AC:L/Au:N/C:P/I:P/A:P）：認可、権限、アクセスコントロール（CWE-264）CVE-2008-5814：CVSS v2 ベーススコア：2.6（重要度低）（AV:N/AC:H/Au:N/C:N/I:P/A:N）：
クロスサイトスクリプティング（XSS）（CWE-79）CVE-2009-2626： CVSS v2 ベーススコア：6.4（重要度中）（AV:N/AC:L/Au:N/C:P/I:N/A:P）：その他（CWE-その他） CVE-2009-2687：CVSS v2 ベーススコア：4.3（重要度中）（AV:N/AC:M/Au:N/C:N/I:N/A:P）：入力検証（CWE-20） CVE-2009-3546：CVSS v2 ベーススコア：4.4（重要度中）（AV:L/AC:M/Au:N/C:P/I:P/A:P）：その他（CWE-その他） CVE-2009-4017：CVSS v2 ベーススコア：5.0（重要度中）（AV:N/AC:L/Au:N/C:N/I:N/A:P）：その他（CWE-その他） CVE-2009-4142：CVSS v2 ベーススコア：4.3（重要度中）（AV:N/AC:M/Au:N/C:N/I:P/A:N）：クロスサイトスクリプティング（XSS）（CWE-79）。（CVE-2008-5624：CVSS v2 ベーススコア：7.5 （重要度高）（AV:N/AC:L/Au:N/C:P/I:P/A:P）：認可、権限、アクセスコントロール（CWE-264））

Red Hat セキュリティアドバイザリ 2009:0338 から：

いくつかのセキュリティの問題を修正する更新された php パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

PHP は、Apache HTTP Web サーバーで一般的に使用される、 HTML を組み込んだスクリプト言語です。

ヒープベースのバッファオーバーフローの欠陥が PHP の mbstring 拡張機能で見つかりました。mbstring 変換関数を使用して PHP スクリプトに任意の入力を渡すことができるリモートの攻撃者は、PHP インタープリターをクラッシュさせたり、任意のコードを実行する可能性があります。
(CVE-2008-5557)

「mbstring.func_overload」の構成設定を取り扱う方法に欠陥が見つかりました。ある仮想ホストまたはユーザーの .htaccess ファイルに設定された値が、同じサーバーの他の仮想ホストに間違って適用されていたため、マルチバイト文字列の処理が正しく機能しませんでした。(CVE-2009-0754)

PHP の imageloadfont 関数でバッファオーバーフローの欠陥が見つかりました。PHP スクリプトにより、リモートの攻撃者が注意深く細工されたフォントファイルをロードできた場合、 PHP インタープリターをクラッシュさせたり、任意のコードを実行してしまう可能性があります。(CVE-2008-3658)

FastCGI モードで実行中の場合、PHP が特定のファイル拡張子を取り扱う方法に欠陥が見つかりました。FastCGI で PHP インタープリターを実行中の場合、リモートの攻撃者は PHP インタープリターをクラッシュさせるようなリクエストを作成することがあります。(CVE-2008-3660)

PHP gd 拡張子の imagerotate 関数でメモリリークの欠陥が見つかりました。関数の「background color」引数として任意の値を渡すことができるリモートの攻撃者は、PHP インタープリターのメモリの一部を表示できる可能性があります。(CVE-2008-5498)

PHP が無効なクッキーのエラーを報告する方法に、クロスサイトスクリプティングの欠陥が見つかりました。PHP インタープリターが「display_errors」を有効にしていた場合、被害者のシステムに特別に細工されたクッキーを設定できるリモートの攻撃者は、PHP が生成するエラーメッセージに任意の HTML を注入する可能性があります。(CVE-2008-5814)

PHP の全ユーザーは、これらの問題を解決するバックポートパッチが含まれる、更新済みパッケージへアップグレードすることが推奨されます。変更を有効にするには、 httpd Web サーバーを再起動する必要があります。

リモートホストは、GLSA-201001-03 で説明されている脆弱性の影響を受けます（PHP：複数の脆弱性）

PHP で複数の脆弱性が発見されました。詳細については、下記で参照される CVE 識別子、および関連する PHP リリースノートを確認してください。
 影響：

コンテキスト依存の攻撃者は、mbstring の拡張が有効な場合、HTML エンティティを含む特別に細工された文字列を使用して、任意のコードを実行する可能性があります。さらに、リモートの攻撃者は、特別に細工された GD 画像ファイルを使用して、任意のコードを実行する可能性があります。
 また、リモートの攻撃者は、json_decode() 関数に無効な形式の文字列を渡すこと、php_zip_make_relative_path() 関数に特別に細工された ZIP ファイルを渡すこと、exif_read_data() 関数に無効な形式の JPEG 画像を渡すこと、または一時ファイルを使い果たすことで、サービス拒否を引き起こす可能性もあります。さらに、攻撃者は、証明書を偽装すること、特定の条件を満たせば safe_mode および open_basedir のさまざまな制限をバイパスすること、クロスサイトスクリプティング攻撃を仕掛けること、SQL インジェクション攻撃をより簡単に仕掛けること、Apache で実行中の場合に、悪意のある .htaccess エントリを通じて、同じサーバー上のその他の仮想ホストの設定を操作すること、メモリの一部を漏洩すること、そして特別に細工された ZIP アーカイブを介して、任意のファイルを書き込むこともできます。不明な影響や攻撃ベクトルがある一部の脆弱性も報告されました。
 回避策：

現時点で、既知の回避策はありません。

自己報告されたバージョン番号によると、リモートホストにインストールされている HP System
Management Homepage は 3.0.1.73 より前のバージョンです。これらのバージョンは、報告されているところによれば、下記のような複数の欠陥の影響を受けます。

  - PHP の脆弱性が悪用されて、クロスサイトスクリプティング攻撃が 実行されることがあります（PHP ディレクティブ「エラーを表示」が有効な場合）。（CVE-2008-5814）

  - 0.9.8i より前のバージョンの OpenSSL の脆弱性を悪用して、証明書チェーンの検証がバイパスされることがあります。（CVE-2008-5077）

  - Windows および Linux バージョンの SMH は、クロスサイトスクリプティング脆弱性の影響を受けます。（CVE-2009-1418）

いくつかのセキュリティの問題を修正する更新された php パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

PHP は、Apache HTTP Web サーバーで一般的に使用される、 HTML を組み込んだスクリプト言語です。

ヒープベースのバッファオーバーフローの欠陥が PHP の mbstring 拡張機能で見つかりました。mbstring 変換関数を使用して PHP スクリプトに任意の入力を渡すことができるリモートの攻撃者は、PHP インタープリターをクラッシュさせたり、任意のコードを実行する可能性があります。
（CVE-2008-5557）

「mbstring.func_overload」の構成設定を取り扱う方法に欠陥が見つかりました。ある仮想ホストまたはユーザーの .htaccess ファイルに設定された値が、同じサーバーの他の仮想ホストに間違って適用されていたため、マルチバイト文字列の処理が正しく機能しませんでした。（CVE-2009-0754）

PHP の imageloadfont 関数でバッファオーバーフローの欠陥が見つかりました。PHP スクリプトにより、リモートの攻撃者が注意深く細工されたフォントファイルをロードできた場合、 PHP インタープリターをクラッシュさせたり、任意のコードを実行してしまう可能性があります。（CVE-2008-3658）

FastCGI モードで実行中の場合、PHP が特定のファイル拡張子を取り扱う方法に欠陥が見つかりました。FastCGI で PHP インタープリターを実行中の場合、リモートの攻撃者は PHP インタープリターをクラッシュさせるようなリクエストを作成することがあります。（CVE-2008-3660）

PHP gd 拡張子の imagerotate 関数でメモリリークの欠陥が見つかりました。関数の「background color」引数として任意の値を渡すことができるリモートの攻撃者は、PHP インタープリターのメモリの一部を表示できる可能性があります。（CVE-2008-5498）

PHP が無効なクッキーのエラーを報告する方法に、クロスサイトスクリプティングの欠陥が見つかりました。PHP インタープリターが「display_errors」を有効にしていた場合、被害者のシステムに特別に細工されたクッキーを設定できるリモートの攻撃者は、PHP が生成するエラーメッセージに任意の HTML を注入する可能性があります。（CVE-2008-5814）

PHP の全ユーザーは、これらの問題を解決するバックポートパッチが含まれる、更新済みパッケージへアップグレードすることが推奨されます。変更を有効にするには、 httpd Web サーバーを再起動する必要があります。

バナーによると、リモートホストにインストールされている PHP のバージョンは 5.2.8 より前です。それ自体は、以下の脆弱性の影響を受ける可能性があります。

  - PHP は、任意の HTML やスクリプトコードのエラーメッセージを適切にサニタイズできず、PHP の「display_errors」設定が有効な場合に、コードがクロスサイトスクリプティング攻撃できます。（CVE-2008-5814）

  - バージョン 5.2.7 では、フィルタ拡張への不適切な修正により、「magic_quotes」関数に関して回帰が導入されました。その結果、「magic_quotes_gpc」の設定は、オンに設定されている場合でも、オフのままです。（CVE-2008-5844）

自己報告バージョン番号によると、リモートホストにインストールされている HP System Management Homepage は 6.0.0.96 / 6.0.0-95 より前のバージョンです。このようなバージョンは、以下の脆弱性の影響を受ける可能性があります。

  - UTF-7 でエンコードされた入力をサニタイズできないことによる、クロスサイトスクリプティング（XSS）脆弱性。ブラウザが影響を受けるのは、エンコーディングが自動選択に設定されている場合だけです。
    （CVE-2008-1468）

  - libxml2 ライブラリでの整数オーバーフロー。これにより、ヒープオーバーフローが発生することがあります。（CVE-2008-4226）

  - PHP mbstring 拡張でのバッファオーバーフロー。
    （CVE-2008-5557）

  - 「display_errors」が有効な場合の、PHP で特定されていない XSS。（CVE-2008-5814）

  - OpenSSL DTLS での複数のサービス拒否脆弱性。（CVE-2009-1377、CVE-2009-1378、CVE-2009-1379、CVE-2009-1386、CVE-2009-1387）

  - 「/proxy/smhu/getuiinfo」の「servercert」パラメータへの入力をサニタイズできないことによる、クロスサイトスクリプティング脆弱性。（CVE-2009-4185）

  - 攻撃者が機密情報にアクセスできる、データを変更できる、サービス拒否を発生できる可能性がある、特定されていない脆弱性。（CVE-2010-1034）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
44680	openSUSE セキュリティ更新：apache2-mod_php5（apache2-mod_php5-1993）	Nessus	SuSE Local Security Checks	2010/2/23	2021/1/14	high
60561	Scientific Linux セキュリティ更新：SL3.x、SL4.x、SL5.x i386/x86_64 の php	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
44683	openSUSE セキュリティ更新：apache2-mod_php5（apache2-mod_php5-1993）	Nessus	SuSE Local Security Checks	2010/2/23	2021/1/14	high
44686	SuSE 11 セキュリティ更新：PHP5（SAT パッチ番号 1978）	Nessus	SuSE Local Security Checks	2010/2/23	2021/1/14	high
49829	SuSE 10 セキュリティ更新：PHP5（ZYPP パッチ番号 6847）	Nessus	SuSE Local Security Checks	2010/10/11	2021/1/14	high
67818	Oracle Linux 5：php（ELSA-2009-0338）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
44687	SuSE 10 セキュリティ更新：PHP5（ZYPP パッチ番号 6846）	Nessus	SuSE Local Security Checks	2010/2/23	2021/1/14	high
44892	GLSA-201001-03：PHP：複数の脆弱性	Nessus	Gentoo Local Security Checks	2010/2/25	2021/1/6	critical
38832	3.0.1.73 より前のバージョンの HP System Management Homepage の複数の欠陥	Nessus	CGI abuses	2009/5/20	2022/4/11	medium
43732	CentOS 5：php（CESA-2009:0338）	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	critical
35067	PHP < 5.2.8 の複数の脆弱性	Nessus	CGI abuses	2008/12/9	2022/4/11	high
46015	HP System Management Homepage < 6.0.0.96 / 6.0.0-95 の複数の脆弱性	Nessus	Web Servers	2010/4/27	2022/4/11	critical
44678	openSUSE セキュリティ更新：apache2-mod_php5（apache2-mod_php5-1993）	Nessus	SuSE Local Security Checks	2010/2/23	2021/1/14	high

検出

プラグインの検索

high

critical

high

high

high

critical

high

critical

medium

critical

high

critical

high