Debian セキュリティ勧告
DLA-67-1 php5 -- LTS セキュリティ更新
- 報告日時:
- 2014-09-30
- 影響を受けるパッケージ:
- php5
- 危険性:
- あり
- 参考セキュリティデータベース:
- Mitre の CVE 辞書: CVE-2014-3538, CVE-2014-3587, CVE-2014-3597.
- 詳細:
-
- CVE-2014-3538
元々 CVE-2013-7345 で行われた修正が問題に対して十分に対処していなかったことが発見されました。 この修正後も、リモートの攻撃者が awk 正規表現規則の処理中にバックトレースを引き起こすよう特別に細工した入力ファイルによりサービス拒否 (CPU 消費) を引き起こすことが可能でした。
- CVE-2014-3587
fileinfo モジュールのCDFパーサが Composite Document File (CDF) 形式の異常なファイルを適切に処理していないことが発見されました。 クラッシュにつながります。
- CVE-2014-3597
元々 CVE-2014-4049 で行われた修正が問題に対して十分に対処していなかったことが発見されました。 悪意のあるサーバや中間の攻撃者が、細工した DNS TXT レコードによりサービス拒否 (クラッシュ) や、潜在的には任意のコードを実行する可能性があります。
- CVE-2014-4670
PHPが特定の SPL Iterator を誤って処理していることが発見されました。 ローカルの攻撃者がこの欠陥を悪用してPHPのクラッシュを引き起こすことが可能で、 サービス拒否につながります。
Debian 6
Squeeze
では、この問題は php5 バージョン 5.3.3-7+squeeze22 で修正されています。 - CVE-2014-3538