Avis du CERT-FR
Objet : Multiples vulnérabilités dans PHP
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Contournement de la politique de sécurité
- Exécution de code arbitraire à distance
Systèmes affectés
PHP version inférieure à 5.4.4.
Résumé
Deux vulnérabilités ont été corrigées dans PHP. La première (CVE-2012-2143) permet à un attaquant de contourner la politique de sécurité (se référer à l'avis CERTA-2012-AVI-310). La seconde (CVE-2012-2386) permet à un attaquant d'exécuter du code arbitraire à distance via un débordement de tampon sur le tas, si l'extension phar de PHP est utilisée pour analyser des fichiers TAR.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Notes de mise à jour PHP 5.4.4 du 6 juin 2012
http://www.php.net/ChangeLog-5.php -
Avis CERTA-2012-AVI-310 Vulnérabilité dans PostgreSQL :
http://www.certa.ssi.gouv.fr/site/CERTA-2012-AVI-310/index.html -
Référence CVE CVE-2012-2143
https://www.cve.org/CVERecord?id=CVE-2012-2143 -
Référence CVE CVE-2012-2386
https://www.cve.org/CVERecord?id=CVE-2012-2386
Gestion détaillée du document
| Date | Description |
|---|---|
| 19 juin 2012 | version initiale. |