在 PHP（PHP: Hypertext Preprocessor 的递归缩写）中发现多个问题，PHP 是一种广泛使用的开源通用脚本语言，特别适合于 web 开发，并且可以嵌入 HTML。CVE-2018-10545 可转储 FPM 子进程允许绕过 opcache 访问控制权限，因为 fpm_unix.c 会进行 PR_SET_DUMPABLE prctl 调用，使一名用户（多用户环境中）可通过在 PHP-FPM 工作进程的 PID 上运行 gcore，从第二用户的 PHP 应用程序的进程内存中获取敏感信息。CVE-2018-10547 在 PHAR 403 和 404 错误页面上，通过 .phar 文件的请求数据可触发反射型 XSS。注意：存在此漏洞的原因是对 CVE-2018-5712 的修复不完整。CVE-2018-10548 由于未正确处理 ldap_get_dn 返回值，ext/ldap/ldap.c 允许远程 LDAP 服务器导致拒绝服务（空指针取消引用和应用程序崩溃）。对于 Debian 7“Wheezy”，这些问题已在 5.4.45-0+deb7u14 版本中修复。我们建议您升级 php5 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

检测

Debian DLA-1373-1：php5 安全更新

high Nessus 插件 ID 109657

未找到变更日志