Risque
- Exécution de code arbitraire à distance
Systèmes affectés
PHP version 5.3.9.
Résumé
Une vulnérabilité dans PHP permet à un attaquant d'exécuter du code arbitraire à distance.
Description
La correction imparfaite de la vulnérabilité CVE-2011-4885 dans PHP a introduit une nouvelle vulnérabilité. L'utilisation de mémoire non initialisée permet à un attaquant de provoquer un arrêt inopiné du serveur et d'exécuter du code arbitraire avec les droits du compte utilisé par l'interpréteur PHP.
Solution
La version 5.3.10 de PHP corrige ce problème.
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Annonce de la version 5.3.10 de PHP du 02 février 2012 http://www.php.net/archive/2012.php
- Bulletin de sécurité Debian DSA-2403-1 du 02 février 2012 : http://www.debian.org/security/2012/dsa-2403
- Bulletin de sécurité Red Hat RHSA-2012:0093-1du 02 février 2012 : https://rhn.redhat.com/errate/RHSA-2012:0093.html
- Référence CVE CVE-2011-4885 https://www.cve.org/CVERecord?id=CVE-2011-4885
- Référence CVE CVE-2012-0830 https://www.cve.org/CVERecord?id=CVE-2012-0830
