サーバサイドで動作する HTML 埋め込み式のスクリプト言語 PHP に、 任意のコードをリモートから実行可能となる恐れがある脆弱性が複数見つかっています。 Common Vulnerabilities and Exposures プロジェクトでは以下の問題を認識しています:
Stefan Esser さんは、セッション拡張モジュール中に HTTP レスポンス分割攻撃が可能となる脆弱性を発見しました。 これは Debian 3.1 (Sarge) にのみ影響します。
Stefan Esser さんは、メモリ割り当てルーチン中に、 メモリ制限設定を迂回可能となるバッファオーバフローを発見しました。 これは、64 bit アーキテクチャ上の Debian 3.1 (Sarge) にのみ影響します。
xmlpc 拡張モジュールに、任意のコードが実行可能となるバッファオーバフローが見つかっています。
旧安定版ディストリビューション (oldstable、コードネーム sarge) では、これらの問題はバージョン 4.3.10-22 で修正されています。
安定版ディストリビューション (stable、コードネーム etch) では、 これらの問題はバージョン 4.4.4-8+etch4 で修正されています。
不安定版ディストリビューション (unstable、コードネーム sid) には、もはや php4 は含まれていません。
PHP パッケージのアップグレードをお勧めします。sarge の hppa、mips、powerpc アーキテクチャ用パッケージは、ビルド用ホストの問題のためにまだ入手可能になっていません。 後ほど提供される予定です。
一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。