Avis du CERT-FR
Objet : Multiples vulnérabilités dans PHP
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Contournement de la politique de sécurité
- Déni de service
Systèmes affectés
Les versions de PHP antérieures à la 5.3.1.
Résumé
Plusieurs vulnérabilités affectant PHP ont été corrigées. Elles permettent, entre autre, de contourner la politique de sécurité.
Description
Plusieurs vulnérabilités dans PHP permettant, entre autre, le contournement de la politique de sécurité ont été corrigées. Une personne malveillante peut par exemple, à l'aide d'un fichier spécialement réalisé, créer des fichiers dans les répertoires autorisés en écriture.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de mise à jour de PHP 3.5.1 :
http://www.php.net/releases/5_3_1.php -
Bulletin de sécurité Debian DSA-1940 du 13 novembre 2009 :
http://www.debian.org/security/2009/dsa-1940 -
Bulletin de sécurité SuSE SUSE-SR:2009:017 du 26 octobre 2009 :
http://lists.opensuse.org/opensuse-security-announce/2009-10/msg00004.html -
Référence CVE CVE-2009-3292
https://www.cve.org/CVERecord?id=CVE-2009-3292 -
Référence CVE CVE-2009-3557
https://www.cve.org/CVERecord?id=CVE-2009-3557 -
Référence CVE CVE-2009-3558
https://www.cve.org/CVERecord?id=CVE-2009-3558 -
Référence CVE CVE-2009-4017
https://www.cve.org/CVERecord?id=CVE-2009-4017
Gestion détaillée du document
| Date | Description |
|---|---|
| 23 novembre 2009 | version initiale. |
| 27 novembre 2009 | ajout des références CVE et des bulletins de sécurité Debian et SuSE. |