Avis du CERT-FR

Json

Objet : Vulnérabilités dans PHP

Gestion du document

Référence	CERTA-2012-AVI-244
Titre	Vulnérabilités dans PHP
Date de la première version	03 mai 2012
Date de la dernière version	03 mai 2012
Source(s)	Bulletin de sécurité PHP du 26 avril 2012

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Contournement de la politique de sécurité
Injection de requête SQL

Systèmes affectés

PHP 5.3.x antérieure à 5.3.11;
PHP 5.4.x antérieure à 5.4.1.

Résumé

Trois vulnérabilités ont été corrigées dans PHP. Deux d'entre-elles concernent les branches 5.3.x et 5.4.x. La dernière (CVE-2012-0831) ne concerne que la branche 5.3.x et corrige un problème lié à magic_quote_gpc lors du chargement de variables d'environnement, ce qui peut faciliter l'injection de requête SQL par un attaquant distant.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité PHP du 26 avril 2012
http://www.php.net/archive/2012.php#id2012-04-26-1
Référence CVE CVE-2012-0831
https://www.cve.org/CVERecord?id=CVE-2012-0831
Référence CVE CVE-2012-1172
https://www.cve.org/CVERecord?id=CVE-2012-1172

Gestion détaillée du document

Date	Description
03 mai 2012	version initiale.