PHPパッチ、一部の脆弱性は未修正




 PHPのアップデートで対処されたはずの脆弱性が、実は修正されていないことが分かったと、セキュリティ研究者が指摘した。

 PHP開発チームは6月1日にアップデートバージョンの5.2.3をリリースし、複数の脆弱性に対処した。リリースノートによれば、この一環として「chunk_split()」の整数オーバーフローの脆弱性も修正されたはずだった。

 しかしこれについて、PHPチームを脱退した研究者のステファン・エッサー氏が、自身の運営するPHPセキュリティブログで問題を指摘した。同氏によると「フィックスは壊れているばかりかまったく無意味」であり、PHP 5.2.3で整数オーバーフロー問題は未修正のまま、別の行に移されただけだという。

 US-CERTも6月6日付で、PHP 5.2.3にはchunk_split()機能に整数オーバーフローの脆弱性が存在する可能性があると指摘。エッサー氏が掲載した情報を紹介している。
(2007.6.8/ITmediaエンタープライズ)
[PR]

by fbitnews2006-6 | 2007-06-08 11:53 | インターネット総合  

<< オリジナルの「Let'... NEC、企業内の通信システムを... >>