S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 15 juillet 2004
N° CERTA-2004-AVI-244-007
Affaire suivie par: CERT-FR
le 15 juillet 2004

Avis du CERT-FR

Objet: Vulnérabilité de PHP

Gestion du document

Référence CERTA-2004-AVI-244-007
Titre Vulnérabilité de PHP
Date de la première version 15 juillet 2004
Date de la dernière version 01 mars 2005
Source(s) Bulletin de sécurité Mandrake MDKSA-2004:068
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Cross site scripting ;
  • exécution de code arbitraire à distance.

Systèmes affectés

  • PHP branche 4 : toutes les versions de PHP antérieures à la version 4.3.8 ;
  • PHP branche 5 : toutes les versions de PHP antérieures à la version 5.0.0.

Résumé

Deux vulnérabilités dans PHP permettent à un utilisateur mal intentionné de réaliser du cross site scripting ou d'exécuter du code arbitraire à distance sur la plate-forme vulnérable.

Description

PHP est un langage de script permettant la réalisation de pages web dynamiques.
Deux vulnérabilités sont présentes dans php :

  • Une première vulnérabilité concerne la directive memory_limit qui peut être déclenchée à un moment voulu. Ceci peut être utilisé par un utilisateur mal intentionné pour exécuter du code arbitraire (CAN-2004-0594) ;
  • Une seconde vulnérabilité concerne la fonction strip_tags(). Cette fonction ne filtre pas correctement certaines balises, ce qui peut conduire un utilisateur mal intentionné à réaliser des attaques de type cross site scripting (CAN-2004-0595).

Solution

  • Pour la branche 4 de PHP : mettre à jour PHP en version 4.3.8 ;
  • pour la branche 5 de PHP : mettre à jour PHP en version 5.0.0.

PHP est téléchargeable à l'adresse suivante :

http://www.php.net/downloads.php

Dans tous les cas, se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 15 juillet 2004
    version initiale.
    le 16 juillet 2004
    ajout de la référence au bulletin de sécurité SUSE.
    le 19 juillet 2004
    ajout de la référence au bulletin de sécurité OpenBSD.
    le 20 juillet 2004
    ajout des références aux bulletins de sécurité Red Hat.
    le 21 juillet 2004
    ajout de la référence au bulletin de sécurité Debian DSA-531.
    le 08 février 2005
    ajout de la référence au bulletin de sécurité Debian DSA-669.
    le 01 mars 2005
    ajout de la référence au bulletin de sécurité NetBSD.