Обнаружены две уязвимости в php4:
Функция memory_limit в PHP 4.x версий до 4.3.7 включительно и PHP 5.x версий до 5.0.0RC3 включительно при определённых условиях (включён параметр register_globals) позволяет удалённому нападающему выполнить произвольный код, вызвав аварийное завершение работы memory_limit при работе функции zend_hash_init и перезаписи указателя на деструктор HashTable до завершения инициализации ключевых структур данных.
Функция strip_tags в PHP 4.x версий до 4.3.7 включительно и PHP 5.x версий до 5.0.0RC3 включительно не отбрасывает нулевые (\0) символы в именах тэгов при определении допустимости тэгов входного текста. Это приводит к обработке web-браузерами опасных тэгов. Такие браузеры, как Internet Explorer и Safari, игнорируют нулевые символы и позволяют использовать уязвимость к перекрёстным между сайтами скриптам (cross-site scripting, XSS).
В текущем стабильном дистрибутиве (woody) эти проблемы исправлены в версии 4.1.2-7.
В нестабильном дистрибутиве (sid) эти проблемы исправлены в версии 4:4.3.8-1.
Мы рекомендуем вам обновить пакет php4.
Контрольные суммы MD5 этих файлов доступны в исходном сообщении.