The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Обновление PHP 5.6.8, 5.5.24 и 5.4.40 с устранением уязвимостей

17.04.2015 09:44

Доступны корректирующие выпуски языка программирования PHP 5.6.8, 5.5.24 и 5.4.40, в которых устранены уязвимости и исправлено около 40 ошибок. В PHP 5.6.8 и 5.5.24 устранены две уязвимости (CVE-2015-1351 - обращение к освобождённой памяти в OPCache и CVE-2015-1352 - разыменование указателя NUL в дополнении для работы с PostgreSQL), а в 5.4.40 - четыре (CVE-2014-9709 - переполнение буфера в GD, CVE-2015-2301, CVE-2015-2783 - уязвимости в Phar, CVE-2015-1352 - уязвимость в дополнении postgresql).

Кроме того, в списке изменений можно заметить несколько связанных с безопасностью исправлений, которые в анонсе не помечены как уязвимости:

Из не связанных с безопасностью исправлений можно отметить крах php при некоторых условиях использования __get() и оператора "++"; сбой работы parse_url для некорректных URL; вывод через serialize некорректных данных для нестроковых значений; крах при использовании генератора в комбинации с итератором; поддержка HTTP2 в дополнении curl; добавление проверки RAND_egd для обеспечения сборки с LibreSSL;

  1. Главная ссылка к новости (http://php.net/archive/2015.ph...)
  2. OpenNews: В PHP 7 появится режим проверки скалярных типов
  3. OpenNews: Обновление PHP 5.6.7, 5.5.23 и 5.4.39 с устранением уязвимостей
  4. OpenNews: Обновление PHP 5.6.6, 5.5.22 и 5.4.38 с устранением уязвимостей
  5. OpenNews: Проект Wikipedia перешёл на использование HHVM для выполнения PHP-кода
  6. OpenNews: Обновление PHP 5.6.5, 5.5.21, 5.4.37 с устранением уязвимостей
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/42052-php
Ключевые слова: php
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (6) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, йцу (?), 10:53, 17/04/2015 [ответить]  
  • +4 +/
    > Ошибка в apache2handler для apache 2.4, которая может потенциально привести к удалённому выполнению кода;

    Это выглядит интересно, но непонятно может ли реально привести к уязвимости.

    > Возможность переопределения параметров PHP_INI_SYSTEM в настройках для отдельных директорий;

    Контекст: некоторые параметры отмечены как PHP_INI_PERDIR, т.е. их можно выставлять в том числе через .htaccess, а некоторые как PHP_INI_USER и их можно изменять в рантайме (ini_set). Уязвимость заключается в том, что в винде (!) через реестр можно изменять не только PHP_INI_USER-параметры (что является штатной возможностью), но и PHP_INI_PERDIR (чего вроде как не должно быть). Прям "голактеко опасносте".

    > Дополнительные исправления для уязвимости в exception::getTraceAsString;

    Касается только SOAP. Там вечно какие-то проблемы с обработкой исключений, никак не починят.

    > Инициирование краха через php_stream_url_wrap_http_ex();

    $http_response_header - это вообще мега-уродливый костыль. "Нужно куда-нибудь впилить заголовки ответа при работе по http через стримы? А давайте зафигачим магическую переменную в текущем скопе!".

    > Отсутствие проверок на нулевые байты в файловом пути во многих расширениях.

    xmlwriter, dom, finfo - не так чтобы постоянно используемые, но и не такая уж экзотика. Неприятные уязвимости.

    > Разыменование указателя NULL в Ereg;

    Пофигу - ereg уже давным давно deprecated и будет выпилен в следующей версии.

     
  • 1.2, бедный буратино (ok), 13:09, 17/04/2015 [ответить]  
  • +2 +/
    Надо все уязвимости в отдельный модуль вытащить - пусть, кто хочет, тот ставит, а кто не хочет - тот не ставит. А то неудобно всё в базе таскать.
     
     
  • 2.3, Andrey Mitrofanov (?), 13:17, 17/04/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Надо все уязвимости в отдельный модуль вытащить - пусть, кто хочет, тот
    > ставит, а кто не хочет - тот не ставит. А то

    Все уязвимости и так вынесены -- в [U]предыдущие[/U] версии. Хочешь - ставь. :D

    > неудобно всё в базе таскать.

    Да, неудобно. "База движется." Головка может закружиться.

     
     
  • 3.4, DeadLoco (ok), 13:29, 17/04/2015 [^] [^^] [^^^] [ответить]  
  • +1 +/
    А по-моему, хорошая идея. Вынести отдельно:

    php5-bugs-5.4.40
    php5-lags-5.4.40
    php5-vulnerabilities-5.4.40

    И кому надо - пусть ставит.

     
     
  • 4.5, Andrey Mitrofanov (?), 13:55, 17/04/2015 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > А по-моему, хорошая идея. Вынести отдельно:
    > php5-vulnerabilities-5.4.40
    > И кому надо - пусть ставит.

    Фантазёры. Повторяю: на LOR-e Машину Времени похппешникам не дадут.

     

  • 1.7, Аноним (-), 23:51, 20/04/2015 [ответить]  
  • +/
    Слишком много кода считается базовым ядром, вот за ним следить и сложно. Потому что PHP как бы язык который позиционирует себя как "У нас есть все и для всех" из коробки
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру