recien salido del horno! aqui esta este articulo q habla sobre bugs en php recien descubiertos
esta traducido con google
Gentoo Linux Security Advisory GLSA 201001-03
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - --
http://security.gentoo.org/ http://security.gentoo.org/- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - --
Severity: High Severidad: Alta
Title: PHP: Multiple vulnerabilities Título: PHP: Múltiples vulnerabilidades
Date: January 05, 2010 Fecha: 05 de enero 2010
Bugs: #249875, #255121, #260576, #261192, #266125, #274670, Bugs: # 249875, # 255121, # 260576, # 261192, # 266125, # 274670,
#280602, #285434, #292132, #293888, #297369, #297370 # 280602, # 285434, # 292132, # 293888, # 297369, # 297370
ID: 201001-03 ID: 201001-03
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - --
Sinopsis
======== ========
Múltiples vulnerabilidades fueron encontradas en PHP, el peor de la que conduce
. a la ejecución remota de código arbitrario.
Background
========== ==========
PHP es un ampliamente utilizado para fines generales lenguaje de scripting que se
. especialmente pensado para desarrollos web y puede ser embebido en HTML.
Los paquetes a los que afecta
================= =================
------------------------------------------------------------------- -------------------------------------------------- -----------------
Package / Vulnerable / Unaffected Package / Vulnerable / Unaffected
------------------------------------------------------------------- -------------------------------------------------- -----------------
1 dev-lang/php < 5.2.12 >= 5.2.12 1 dev-lang/php <5.2.12> = 5.2.12
Descripción
=========== ===========
P. Múltiples vulnerabilidades han sido descubiertas en PHP. Por favor revise la
Identificadores CVE hace referencia a continuación y el correspondiente lanzamiento PHP notas
para más detalles.
Impacto
====== ======
via a Un contexto-dependiente atacante podría ejecutar código arbitrario a través de un
especialmente diseñado cadena que contiene una entidad HTML cuando el . extensión está habilitado. Además, un atacante remoto podría ejecutar
. de código arbitrario a través de un gráfico especialmente diseñado GD archivo.
Un atacante remoto podría causar una denegación de servicio a través de un formato incorrecto
cadena que se pasa a la json_decode () la función, a través de una especialmente diseñada
ZIP file passed to the php_zip_make_relative_path() function, via a Archivo ZIP, pasó a la php_zip_make_relative_path () la función, a través de un
de imagen JPEG con formato incorrecto pasa a la exif_read_data () la función, o por medio de
. el agotamiento de archivos temporales. También es posible que un atacante a la burla
certificates, diversas restricciones
, cuando se cumplan ciertos criterios, realizar ataques de Cross-site scripting,
más fácil realizar ataques de inyección SQL, manipular la configuración de otros
virtuales en el mismo servidor a través de una entrada maliciosa. htaccess cuando
se ejecutan en Apache, divulgar porciones de memoria, y escribir archivos arbitrarios
via a specially crafted ZIP archive. a través de un archivo ZIP especialmente diseñado. Algunas vulnerabilidades con desconocidos
. de impacto y los vectores de ataque se han reportado también.
Solución
========== ==========
No hay ninguna solución conocida en este momento.
Resolución
========== ==========
PHP Todos los usuarios deben actualizar a la última versión. es
enlazados estáticamente contra una versión vulnerable de la biblioteca de C-cliente
users IMAP o cuando el parámetro USE kolab está habilitado (GLSA 200911-03), los usuarios
should upgrade net-libs/c-client beforehand: Debería actualizar net-libs/c-client de antemano:
# emerge --sync # Emerge - sync
# emerge --ask --oneshot --verbose ">=net-libs/c-client-2007e" # Emerge - ask - oneshot - verbose "> = net-libs/c-client-2007e"
# emerge --ask --oneshot --verbose ">=dev-lang/php-5.2.12" # Emerge - ask - oneshot - verbose "> = dev-lang/php-5.2.12"
Referencias
========== ==========
[ 1 ] CVE-2008-5498 [1] CVE-2008-5498
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5498 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5498[ 2 ] CVE-2008-5514 [2] CVE-2008-5514
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5514 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5514[ 3 ] CVE-2008-5557 [3] CVE-2008-5557
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5557 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5557[ 4 ] CVE-2008-5624 [4] CVE-2008-5624
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5624 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5624[ 5 ] CVE-2008-5625 [5] CVE-2008-5625
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5625 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5625[ 6 ] CVE-2008-5658 [6] CVE-2008-5658
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5658 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5658[ 7 ] CVE-2008-5814 [7] CVE-2008-5814
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5814 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5814[ 8 ] CVE-2008-5844 [8] CVE-2008-5844
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5844 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5844[ 9 ] CVE-2008-7002 [9] CVE-2008-7002
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-7002 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-7002[ 10 ] CVE-2009-0754 [10] CVE-2009-0754
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-0754 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-0754[ 11 ] CVE-2009-1271 [11] CVE-2009-1271
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-1271 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-1271[ 12 ] CVE-2009-1272 [12] CVE-2009-1272
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-1272 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-1272[ 13 ] CVE-2009-2626 [13] CVE-2009-2626
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2626 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2626[ 14 ] CVE-2009-2687 [14] CVE-2009-2687
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2687 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2687[ 15 ] CVE-2009-3291 [15] CVE-2009-3291
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3291 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3291[ 16 ] CVE-2009-3292 [16] CVE-2009-3292
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3292 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3292[ 17 ] CVE-2009-3293 [17] CVE-2009-3293
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3293 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3293[ 18 ] CVE-2009-3546 [18] CVE-2009-3546
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3546 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3546[ 19 ] CVE-2009-3557 [19] CVE-2009-3557
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3557 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3557[ 20 ] CVE-2009-3558 [20] CVE-2009-3558
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3558 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3558[ 21 ] CVE-2009-4017 [21] CVE-2009-4017
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-4017 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-4017[ 22 ] CVE-2009-4142 [22] CVE-2009-4142
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-4142 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-4142[ 23 ] CVE-2009-4143 [23] CVE-2009-4143
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-4143 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-4143[ 24 ] GLSA 200911-03 [24] GLSA 200911-03
http://www.gentoo.org/security/en/glsa/glsa-200911-03.xml http://www.gentoo.org/security/en/glsa/glsa-200911-03.xmlAvailability Disponibilidad
============ ============
Esta GLSA y sus actualizaciones, están disponibles para consulta en
el sitio Web de Seguridad de Gentoo:
http://security.gentoo.org/glsa/glsa-201001-03.xml http://security.gentoo.org/glsa/glsa-201001-03.xml Preocupaciones?
========= =========
La seguridad es un objetivo principal de Gentoo Linux y garantizar la
y la seguridad de nuestras máquinas de los usuarios es de suma
importancia para nosotros. Cualquier preocupaciones de seguridad deben ser dirigidas a
security (at) gentoo (dot) org [email concealed] or alternatively, you may file a bug at seguridad (a) gentoo (dot) org [email oculto] o, alternativamente, usted puede presentar un error en
https://bugs.gentoo.org. https: / / bugs.gentoo.org.
License Licencia
======= =======
Copyright 2010 Gentoo Foundation, Inc, texto de referencia
pertenece a su propietario (s).
El contenido de este documento está registrado bajo el
Creative Commons - Attribution / Share Alike license. Creative Commons - Reconocimiento / Compartir Igual.
http://creativecommons.org/licenses/by-sa/2.5 http://creativecommons.org/licenses/by-sa/2.5-----BEGIN PGP SIGNATURE----- ----- BEGIN PGP SIGNATURE -----
Version: GnuPG v2.0.14 (GNU/Linux) Version: GnuPG v2.0.14 (GNU / Linux)
iEYEARECAAYFAktDqrMACgkQD/IBIJzjypFeOQCdHjXwhQQ/kWUHHNnr7RjaDxYm iEYEARECAAYFAktDqrMACgkQD/IBIJzjypFeOQCdHjXwhQQ/kWUHHNnr7RjaDxYm
il4An3zXzNwqAK3mQz3+9QDt+0TjQLdt il4An3zXzNwqAK3mQz3 9 QDT 0 TjQLdt
=FbuF = FbuF
-----END PGP SIGNATURE----- ----- END PGP SIGNATURE -----
fuente:
http://security.gentoo.org/ salu2
mi blog
Autor
En línea
