Risques
- Exécution de code arbitraire à distance
- Injection de code indirecte à distance (XSS)
Systèmes affectés
- PHP branche 4 : toutes les versions de PHP antérieures à la version 4.3.8 ;
- PHP branche 5 : toutes les versions de PHP antérieures à la version 5.0.0.
Résumé
Deux vulnérabilités dans PHP permettent à un utilisateur mal intentionné de réaliser du cross site scripting ou d'exécuter du code arbitraire à distance sur la plate-forme vulnérable.
Description
PHP est un langage de script permettant la réalisation de pages web
dynamiques.
Deux vulnérabilités sont présentes dans php :
- Une première vulnérabilité concerne la directive memory_limit qui peut être déclenchée à un moment voulu. Ceci peut être utilisé par un utilisateur mal intentionné pour exécuter du code arbitraire (CAN-2004-0594) ;
- Une seconde vulnérabilité concerne la fonction strip_tags(). Cette fonction ne filtre pas correctement certaines balises, ce qui peut conduire un utilisateur mal intentionné à réaliser des attaques de type cross site scripting (CAN-2004-0595).
Solution
- Pour la branche 4 de PHP : mettre à jour PHP en version 4.3.8 ;
- pour la branche 5 de PHP : mettre à jour PHP en version 5.0.0.
PHP est téléchargeable à l'adresse suivante :
http://www.php.net/downloads.php
Dans tous les cas, se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité Mandrake MDKSA-2004:068 http://www.mandrakesoft.com/security/advisories?name=MDKSA-2004:068
- Bulletin de sécurité Debian DSA-531 du 20 juillet 2004 : http://www.debian.org/security/2004/dsa-531
- Bulletin de sécurité Debian DSA-669 du 07 février 2005 : http://www.debian.org/security/2004/dsa-669
- Bulletin de sécurité FreeBSD pour PHP du 15 juillet 2004 : http://www.vuxml.org/freebsd/
- Bulletin de sécurité Gentoo GLSA 200407-13 du 15 juillet 2004 : http://www.gentoo.org/security/en/glsa/glsa-200407-13.xml
- Bulletin de sécurité OpenBSD pour php4 du 15 juillet 2004 : http://www.vuxml.org/openbsd/
- Bulletin de sécurité Red Hat RHSA-2004:392 du 19 juillet 2004 : http://rhn.redhat.com/errata/RHSA-2004-392.html
- Bulletin de sécurité Red Hat RHSA-2004:395 du 19 juillet 2004 : http://rhn.redhat.com/errata/RHSA-2004-395.html
- Bulletin de sécurité SUSE SUSE-SA:2004:021 du 16 juillet 2004 : http://www.suse.com/de/security/2004_21_php4.html
- Bulletin de sécurité e-matters 11/2004 du 14 juillet 2004 : http://security.e-matters.de/advisories/112004.html
- Bulletin de sécurité e-matters 12/2004 du 14 juillet 2004 : http://security.e-matters.de/advisories/122004.html
- Liste des changements dans PHP pour la branche 4 : http://www.php.net/ChangeLog-4.php
- Liste des changements dans PHP pour la branche 5 : http://www.php.net/ChangeLog-5.php
- Mise à jour de sécurité du paquetage NetBSD php4 : ftp://ftp.netbsd.org/pub/NetBSD/packages/pkgsrc/www/php4/README.html
- Site Internet de PHP : http://www.php.net
