Avis du CERT-FR
Objet : Multiples vulnérabilités dans PHP
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Contournement de la politique de sécurité
- Déni de service à distance
- Exécution de code arbitraire à distance
Systèmes affectés
- PHP 4, pour les versions antérieures à 4.4.7 ;
- PHP 5, pour les versions antérieures à 5.2.2.
Résumé
Plusieurs vulnérabilités avaient été identifiées à l'occasion du MoPB (le Month Of PHP Bugs). L'exploitation de ces dernières peut avoir divers impacts sur le serveur vulnérable. Les mises à jour récentes de PHP corrigent la plupart de ces vulnérabilités.
Description
Plusieurs vulnérabilités avaient été identifiées en mars 2007 à l'occasion du MoPB (le Month Of PHP Bugs). A cette occasion, le CERTA a publié dans son bulletin d'actualité CERTA-2007-ACT-012 une revue des plus importantes d'entre elles. Les conséquences de l'exploitation de ces dernières sont diverses, pouvant être un dysfonctionnement du serveur vulnérable ou l'exécution de code arbitraire sur celui-ci.
Solution
Se référer aux bulletins de sécurité des différents éditeurs pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin d'actualité CERTA-2007-ACT-012 du 23 mars 2007 :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-012.pdf -
Bulletin de sécurité Debian DSA 1282-1 du 26 avril 2007 :
http://www.debian.org/security/2007/dsa-1282-1 -
Bulletin de sécurité Debian DSA 1283-1 du 29 avril 2007 :
http://www.debian.org/security/2007/dsa-1283-1 -
Bulletin de sécurité Gentoo GLSA-200705-19 du 26 mai 2007 :
http://www.gentoo.org/security/en/glsa/glsa-200705-19.xml -
Bulletin de sécurité Mandriva MDKSA-2007:087 du 18 avril 2007 :
http://wwwnew.mandriva.com/security/advisories?name=MDKSA-2007:087 -
Bulletin de sécurité Mandriva MDKSA-2007:088 du 18 avril 2007 :
http://wwwnew.mandriva.com/security/advisories?name=MDKSA-2007:088 -
Bulletin de sécurité Mandriva MDKSA-2007:089 du 18 avril 2007 :
http://wwwnew.mandriva.com/security/advisories?name=MDKSA-2007:089 -
Bulletin de sécurité Mandriva MDKSA-2007:090 du 18 avril 2007 :
http://wwwnew.mandriva.com/security/advisories?name=MDKSA-2007:090 -
Bulletin de sécurité Mandriva MDKSA-2007:091 du 18 avril 2007 :
http://wwwnew.mandriva.com/security/advisories?name=MDKSA-2007:091 -
Bulletin de sécurité RedHat RHSA-2007:0153 du 20 avril 2007 :
http://rhn.redhat.com/errata/RHSA-2007-0153.html -
Bulletin de sécurité RedHat RHSA-2007:0155 du 16 avril 2007 :
http://rhn.redhat.com/errata/RHSA-2007-0155.html -
Bulletin de sécurité SuSE SUSE-SA:2007:032 du 23 mai 2007 :
http://lists.suse.com/archive/suse-security-announce/2007-May/0007.html -
Bulletin de sécurité Ubuntu USN-455-1 du 27 avril 2007 :
http://www.ubuntu.com/usn/usn-455-1 -
Mise à jour de sécurité Fedora Core 6 du 18 avril 2007 :
http://download.fedora.redhat.com/pub/fedora/linux/core/updates/6/ -
Note de changement de version pour PHP 4 version 4.4.7 :
http://www.php.net/ChangeLog-4.php -
Note de changement de version pour PHP 5 version 5.2.2 :
http://www.php.net/ChangeLog-5.php -
Site de téléchargement des dernières versions PHP :
http://fr2.php.net/downloads.php -
Référence CVE CVE-2007-0455
https://www.cve.org/CVERecord?id=CVE-2007-0455 -
Référence CVE CVE-2007-1001
https://www.cve.org/CVERecord?id=CVE-2007-1001 -
Référence CVE CVE-2007-1286
https://www.cve.org/CVERecord?id=CVE-2007-1286 -
Référence CVE CVE-2007-1375
https://www.cve.org/CVERecord?id=CVE-2007-1375 -
Référence CVE CVE-2007-1376
https://www.cve.org/CVERecord?id=CVE-2007-1376 -
Référence CVE CVE-2007-1380
https://www.cve.org/CVERecord?id=CVE-2007-1380 -
Référence CVE CVE-2007-1453
https://www.cve.org/CVERecord?id=CVE-2007-1453 -
Référence CVE CVE-2007-1454
https://www.cve.org/CVERecord?id=CVE-2007-1454 -
Référence CVE CVE-2007-1521
https://www.cve.org/CVERecord?id=CVE-2007-1521 -
Référence CVE CVE-2007-1583
https://www.cve.org/CVERecord?id=CVE-2007-1583 -
Référence CVE CVE-2007-1700
https://www.cve.org/CVERecord?id=CVE-2007-1700 -
Référence CVE CVE-2007-1711
https://www.cve.org/CVERecord?id=CVE-2007-1711 -
Référence CVE CVE-2007-1718
https://www.cve.org/CVERecord?id=CVE-2007-1718 -
Référence CVE CVE-2007-1777
https://www.cve.org/CVERecord?id=CVE-2007-1777 -
Référence CVE CVE-2007-1824
https://www.cve.org/CVERecord?id=CVE-2007-1824 -
Référence CVE CVE-2007-1887
https://www.cve.org/CVERecord?id=CVE-2007-1887 -
Référence CVE CVE-2007-1889
https://www.cve.org/CVERecord?id=CVE-2007-1889 -
Référence CVE CVE-2007-1900
https://www.cve.org/CVERecord?id=CVE-2007-1900
Gestion détaillée du document
| Date | Description |
|---|---|
| 07 mai 2007 | version initiale. |
| 29 mai 2007 | ajout des réfŕences aux bulletins de sécurité Gentoo, SuSE, Mandriva, Red Hat. |