Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans PHP

Gestion du document

Référence	CERTA-2004-AVI-344
Titre	Multiples vulnérabilités dans PHP
Date de la première version	14 octobre 2004
Date de la dernière version	14 octobre 2004
Source(s)	Bulletin de sécurité Gentoo GLSA 200410-04 / PHP

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à l'intégrité des données
Atteinte à la confidentialité des données

Systèmes affectés

PHP 5.0
PHP 5.0.1

Résumé

Deux vulnérabilités dans PHP permettent à un utilisateur mal intentionné à distance de porter atteinte à la confidentialité et à l'intégrité des données.

Description

PHP est un langage de script permettant la réalisation de pages web dynamiques. Deux vulnérabilités viennent d'être découvertes :

Une première vulnérabilité est dûe à un mauvais traitement dans php_variables.c. Cette vulnérabilité permet à un utilisateur mal intentionné de prendre connaissance des informations présentes sur le système vulnérable.
Une seconde vulnérabilité concerne la fonction SAPI_POST_HANDLER_FUNC() présente dans rfc1867.c, elle permet à un utilisateur mal intentionné de porter atteinte à l'intégrité des données.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation)

Documentation

Bulletin de sécurité Gentoo GLSA 200410-04 / PHP
http://www.gentoo.org/security/en/glsa/glsa-200410-04.xml
Site Internet de PHP :
http://www.php.net

Gestion détaillée du document

Date	Description
14 octobre 2004	version initiale.