PHP 5.3.9 corrige une faille de sécurité critique
Pouvant entrainer un déni de service et plus de 90 bogues
Le 2012-01-11 12:23:05, par Nowwis, Membre confirmé
L'équipe PHP sort aujourd'hui sa version 5.3.9.
Cette version se concentre sur l’amélioration de la stabilité de la branche 5.3.X de PHP et corrige plus de 90 bogues, notamment d'un point de vue de la sécurité.
PHP 5.3.9 corrige une faille de sécurité pouvant permettre une attaque par déni de service (DOS), qui avait été présentée lors de la conférence européenne sur le piratage (Chaos Communication Congress).
Cette vulnérabilité critique affecte plusieurs plateformes de développement Web, dont ASP.NET et PHP. La faille peut permettre à un attaquant de faire des collisions de hachage, entrainant ainsi une consommation plus énorme du temps processeurs.
Désormais, en définissant la directive max_input_vars à une valeur suffisamment faible, il devient quasiment impossible d’envoyer des paramètres pouvant déclencher ce genre de problème.
Une autre faille de sécurité corrigée pouvant entrainer également un déni de service concerne un débordement d’entier lors du traitement de données des entêtes EXIF dans les fichiers JPEG.
En plus des correctifs de sécurité, cette version apporte plusieurs améliorations et des correctifs des bugs dont plusieurs changements dans le module SAPI FPM, des correctifs de bugs pour mysqlnd, la collecte des déchets et la gestion de la mémoire.
Les utilisateurs de PHP sont appelé à mettre à jour leur version de PHP.
PHP 5.4.0, quant à lui, est passé en version RC 5 depuis le 7 janvier.
Source : PHP.net
Edit d'Hinault Romaric
Cette version se concentre sur l’amélioration de la stabilité de la branche 5.3.X de PHP et corrige plus de 90 bogues, notamment d'un point de vue de la sécurité.
PHP 5.3.9 corrige une faille de sécurité pouvant permettre une attaque par déni de service (DOS), qui avait été présentée lors de la conférence européenne sur le piratage (Chaos Communication Congress).
Cette vulnérabilité critique affecte plusieurs plateformes de développement Web, dont ASP.NET et PHP. La faille peut permettre à un attaquant de faire des collisions de hachage, entrainant ainsi une consommation plus énorme du temps processeurs.
Désormais, en définissant la directive max_input_vars à une valeur suffisamment faible, il devient quasiment impossible d’envoyer des paramètres pouvant déclencher ce genre de problème.
Une autre faille de sécurité corrigée pouvant entrainer également un déni de service concerne un débordement d’entier lors du traitement de données des entêtes EXIF dans les fichiers JPEG.
En plus des correctifs de sécurité, cette version apporte plusieurs améliorations et des correctifs des bugs dont plusieurs changements dans le module SAPI FPM, des correctifs de bugs pour mysqlnd, la collecte des déchets et la gestion de la mémoire.
Les utilisateurs de PHP sont appelé à mettre à jour leur version de PHP.
PHP 5.4.0, quant à lui, est passé en version RC 5 depuis le 7 janvier.
Source : PHP.net
Edit d'Hinault Romaric
-
transgohanExpert éminentEt dans combien d'années cette version apparaitra chez les hébergeurs ? ^^le 12/01/2012 à 16:44
-
camus3Membre éprouvéBonne question , mais c'est un peu la responsabilité du client aussi de faire pression sur son hébergeur pour une upgrade de php , tout le monde ne dispose pas d'un serveur dédié accessible via putty pour ces sites , en tout cas je vais poser le problème à mon hébergeur , et en changer si l'upgrade n'est pas effectuée rapidement.le 13/01/2012 à 4:34
-
tonnebrreMembre du Club90 bugs on est jamais tranquillele 12/01/2012 à 13:17
-
SurferIXMembre chevronnéIl faut préciser que tout le monde ne sait pas que chez online.fr, pour 20 euros par mois, on a un serveur dédié !
Je dis ça parce que beaucoup d'hébergements mutualisés se rapprochent de ce tarif, et ça bloque, comme tu le dis si bien, des gens qui pourraient avoir leur propre serveur dédié accessible via putty.le 18/01/2012 à 11:41 -
chillsMembre à l'essaiSalut,
Moi je suis chez hostone.fr et ils ont cette version d'installé en plus de php 5.2 je peux choisir qu'elle version je veux utilisé selon mon projet donc à mon avis ça doit déjà être en place partout si c'est chez ce petit hébergeur!?
++le 23/01/2012 à 9:36 -
Benjamin DelespierreExpert éminentPas tous, mais c'est vrai que beaucoup laissent ce choix. Personnellement, j'aimerai que les solution d'entreprise comme RedHat mettent la version 5.3 et non la 5.1 dans leurs dépôts officiels (non disponible avant RH 5.7
). le 23/01/2012 à 10:10 -
beegeesMembre éprouvéle 27/07/2012 à 17:25