PHP 5.3.12とPHP 5.4.2、脆弱性が完全には修正されていないことが判明 | スラド デベロッパー

PHPをCGIとして使用する場合にリモートからコマンドライン引数を指定してPHP-CGIバイナリーを実行できるという脆弱性(CVE-2012-1823)が発見され、PHP開発チームはPHP 5.3.12とPHP 5.4.2を公開した。しかし、脆弱性が完全には修正されておらず、改めて脆弱性情報データベースにCVE-2012-2311として登録されたとのこと( threatpostの記事、 Die Eindbazenの記事、 Yet Another PHP Security Blogの記事、 徳丸浩氏のブログ記事)。 この脆弱性は2004年から発見されずに存在していたもので、Apache mod_cgiを使用している環境などが影響を受けるという。悪用されるとリモートからローカルディスク上のファイルを実行されたり、DoSを実行されたりする可能性がある。攻撃者がサーバーにファイルをアップロードでき

[google-house2]

参考に

[smbd]

これがPHPクオリティィィィィ！！

[hiboma]

"つまり実害はほとんど無いといって差し障りないんじゃないの？" < ホストOSへの攻撃は小さく抑えられても実ユーザーのデータは被害受けるしソース見られてパスワード漏洩みたいな被害はsuEXECうんぬんじゃないですよね

[ayatorch]

PHP こういうの多いなぁ。

[vvakame]

おぉこわ

[nrtm]

だからPHPとかないわー（ぉ 'PHP 5.3.12とPHP 5.4.2、脆弱性が完全には修正されていないことが判明 | スラッシュドット・ジャパン デベロッパー'

[sifue]

むー。

[orihime-akami]

PHP 5.3.12とPHP 5.4.2、脆弱性が完全には修正されていないことが判明