Avis du CERT-FR
Objet : Multiples vulnérabilités dans php
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
Systèmes affectés
php versions 5.2.0 et antérieures.
Résumé
Plusieurs vulnérabilités dans php permettraient à un utilisateur distant de contourner la politique de sécurité ou de porter atteinte à la confidentialité des données.
Description
Plusieurs vulnérabilités de type débordement de mémoire dans l'interpréteur php ont été identifiées. Elles permettraient de contourner la politique de sécurité et de porter atteinte à la confidentialité des données du système mettant en œuvre cet interpréteur php vulnérable.
Solution
La version 5.2.1 de php corrige le problème :
http://www.php.net/downloads.php
Documentation
-
Liste des correctifs apportés à la version 5.2.1 de php
http://www.php.net/releases/5_2_1.php -
Bulletin Debian DSA-1264-1 du 07 mars 2007 :
http://www.debian.org/security/2007/dsa-1264 -
Bulletin Fedora Core 5 Fedora-2007-287 du 26 février 2007 :
http://fedoranews.org/cms/node/2720 -
Bulletin Fedora Core 6 Fedora-2007-261 du 20 février 2007 :
http://fedoranews.org/cms/node/2681 -
Bulletin Mandriva MDKSA-2007:048 du 22 février 2007 :
http://www.mandriva.com/security/advisories?name=MDKSA-2007:048 -
Bulletin Redhat RHSA-2007:0076-3 du 19 février 2007 :
http://rhn.redhat.com/errata/RHSA-2007-0076.html -
Bulletin Redhat RHSA-2007:0081-2 du 21 février 2007 :
http://rhn.redhat.com/errata/RHSA-2007-0081.html -
Bulletin Ubuntu USN-424-1 du 21 février 2007 :
https://lists.ubuntu.com/archives/ubuntu-security-announce/2007-February/000487.html -
Bulletin Ubuntu USN-424-2 du 08 mars 2007 :
https://lists.ubuntu.com/archives/ubuntu-security-announce/2007-March/000497.html -
Bulletin de sécurité SuSE SUSE-SA:2007:00 :
http://lists.suse.com/archive/suse-security-announce/2007-Mar/0003.html -
Référence CVE CVE-2007-0905
https://www.cve.org/CVERecord?id=CVE-2007-0905 -
Référence CVE CVE-2007-0906
https://www.cve.org/CVERecord?id=CVE-2007-0906 -
Référence CVE CVE-2007-0907
https://www.cve.org/CVERecord?id=CVE-2007-0907 -
Référence CVE CVE-2007-0908
https://www.cve.org/CVERecord?id=CVE-2007-0908 -
Référence CVE CVE-2007-0909
https://www.cve.org/CVERecord?id=CVE-2007-0909 -
Référence CVE CVE-2007-0910
https://www.cve.org/CVERecord?id=CVE-2007-0910 -
Référence CVE CVE-2007-0988
https://www.cve.org/CVERecord?id=CVE-2007-0988
Gestion détaillée du document
| Date | Description |
|---|---|
| 09 février 2007 | version initiale. |
| 21 février 2007 | ajout des références CVE et Redhat. |
| 14 mars 2007 | ajout des références Debian, Fedora, Mandriva et Redhat. |
| 15 mars 2007 | ajout de la référence SuSE. |