PHP5.2漏洞

Question

我目前有一个运行PHP5.2.13的web服务器，最近有人告诉我：

简介:

远程web服务器使用受多个缺陷影响的PHP版本。

描述:

根据其横幅，安装在远程主机上的PHP5.2版本已超过5.2.15。这些版本可能会受到以下几个安全问题的影响：

• 压缩解压缩方法中的崩溃。
• imap扩展中存在一个可能的双空闲。(CVE-2010-4150)
• 'open_basedir‘中存在一个未指明的缺陷。(CVE-2010-3436)
• 在'mssql_fetch_batch()‘中可能会发生崩溃。
• 'ZipArchive::getArchiveComment‘中存在一个空指针取消引用。(CVE-2010-3709)
• 如果反混叠步骤无效，则会发生崩溃。(Bug #53492)
• pdo_firebird getAttribute()中存在崩溃。(错误53323)
• 当调用“_set()”、“_get()”、“_isset()”或“_unset()”方法时，Zend中存在允许拒绝服务攻击的用户后无漏洞。(Bug #52879 / CVE-2010-4697)
• GD扩展中的“imagepstext()”函数中存在基于堆栈的缓冲区溢出。(Bug 53492 / CVE-2010-4698)
• 处理可能导致空指针取消引用的无效XML请求时存在错误。(bug #51288) (CVE-2010-0397)
• 函数“fnmatch”中存在可能导致堆栈耗尽的错误。
• sqlite扩展中存在允许任意内存访问的错误。
• 函数‘substr_替换’中存在内存损坏错误。
• 下列功能没有得到适当的保护，以防功能中断：

addcslashes，chunk_split，html_entity_decode，iconv_mime_decode，iconv_substr，iconv_mime_encode，1862实体，htmlspecialchars，str_getcsv，http_build_query，strpbrk，strstr，str_pad，str_word_count，wordwrap，strtok，setcookie，strip_tags，trim，ltrim，rtrim，parse_str，pack，unpack，uasort，preg_match，strrchr，strchr，substr，str_repeat (CVE-2010-1860，CVE-2010-1862，CVE-2010-1864，CVE-2010-2097，CVE-2010-2100，CVE-2010-2101，CVE-2010-2190，CVE-2010-2191，CVE-2010-2484)

• 下列操作码没有得到适当的保护以防止功能中断：

ZEND_CONCAT，ZEND_ASSIGN_CONCAT，ZEND_FETCH_RW (CVE-2010-2191)

• 默认会话序列化程序包含一个错误，在分配具有用户定义名称的会话变量时可利用此错误。通过在变量名中包含PS_UNDEF_MARKER、'!‘字符，可以将任意序列化的值注入会话。
• 函数'spl_object_storage_attach‘中存在一个免使用后错误.(CVE-2010-2225)

我用的不多，比如mssql_fetch_batch()，pdo_firebird getAttribute.

基本上，我很想知道这是否都是一个主要的问题？

谢谢,

Answer 1

当发布软件更新(特别是服务器软件和代码解释器)时，总是有一个很好的理由。

帮你自己一个忙，定期更新你的软件包。如果安全警告已经发布，不要等待并立即更新。

PHP5.2分支和5.3分支之间没有太多的更改需要考虑。总有一天，对5.2分支的支持将被放弃，您将被迫无论如何进行升级。看一看PHP5.3.x迁移指南。

• 下列操作码没有得到适当的保护以防止功能中断： ZEND_CONCAT，ZEND_ASSIGN_CONCAT，ZEND_FETCH_RW (CVE-2010-2191)

不要告诉我您的代码中不使用字符串连接(.)和赋值连接(.=)。

Answer 2

A user-after-free vulnerability in the Zend engine when a '_set()', '_get()', '_isset()' or '_unset()' method is called can allow for a denial of service attack. (Bug #52879 / CVE-2010-4697)

=>看起来不太好。

An unspecified flaw exists in 'open_basedir'. (CVE-2010-3436)

如果您依赖于=>来阻止对系统上某些文件的访问，则可能会出现open_basedir问题。

至于其余的，它们似乎是与性能相关的bug(内存问题等等)。

说，您没有理由不更新5.2PHP5.2Version。可以理解的是，跳转5.3.x可能不明智，因为它可能会导致站点崩溃，但5.2分支正在积极维护。

Answer 3

忽视这一点是一个主要问题，是的：

http://www.php.net/archive/2010.php#id2010-12-16-1

PHP开发团队希望宣布PHP5.2.16立即可用。这个版本标志着对PHP5.2的支持的结束。鼓励所有使用PHP5.2的用户升级到PHP5.3。