根据其标题，远程主机上安装的 PHP 版本早于 5.2.9。此类版本可能会受到多个安全问题的影响：

  - 未使用函数“imagerotate()”中的非真实颜色图像正确验证背景颜色。(CVE-2008-5498)

  - 通过尝试提取特定 zip 文件（其中文件的文件名或目录名具有相对路径），可触发拒绝服务情况。

  - 函数“explode()”受到不明漏洞的影响。

  - 可能会通过将特别构建的字符串传递给函数“json_decode()”触发段错误。

  - 函数“xml_error_string()”受到导致消息差一错误的缺陷影响。

在 PHP 的 mbstring 扩展中发现一个基于堆的缓冲区溢出缺陷。能够使用 mbstring 转换功能将任意输入传递到 PHP 的远程攻击者可以导致 PHP 解释器崩溃，或者可能执行任意代码。
(CVE-2008-5557)

在“mbstring.func_overload”配置设置的处理中发现一个缺陷。为一台虚拟主机或在用户的 .htaccess 文件中设置的值被错误地应用于同一服务器上的其他虚拟主机，导致多字节字符串的处理无法正确运行。(CVE-2009-0754)

在 PHP 的 imageloadfont 函数中发现一个缓冲区溢出缺陷。如果某个 PHP 脚本允许远程攻击者加载精心构建的字体文件，则可以导致 PHP 解释器崩溃，或者可能执行任意代码。(CVE-2008-3658)

在 FastCGI 模式下运行时 PHP 处理某些文件扩展名的方式中发现一个缺陷。如果通过 FastCGI 执行 PHP 解释器，则远程攻击者可以创建请求，导致 PHP 解释器崩溃。(CVE-2008-3660)

在 PHP 报告无效 cookie 错误的方式中发现一个跨站脚本缺陷。如果 PHP 解释器启用了“display_errors”，能够在受害者的系统上设置特别构建的 cookie 的远程攻击者可能可以将任意 HTML 注入到由 PHP 生成的错误消息中。(CVE-2008-5814) - 仅限 SL5

在 PHP gd 扩展的 imagerotate 函数中发现一个内存泄露缺陷。能够将任意值作为该函数的“background color”参数进行传递的远程攻击者可能可以查看 PHP 解释器的部分内存。(CVE-2008-5498)

必须重新启动 httpd web 服务器才能使更改生效。

来自 Red Hat 安全公告 2009:0338：

更新后的 php 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队将此更新评级为具有中等安全影响。

PHP 是一种嵌入了 HTML 的脚本语言，通常用于 Apache HTTP Web 服务器。

在 PHP 的 mbstring 扩展中发现一个基于堆的缓冲区溢出缺陷。能够使用 mbstring 转换功能将任意输入传递到 PHP 的远程攻击者可以导致 PHP 解释器崩溃，或者可能执行任意代码。
(CVE-2008-5557)

在“mbstring.func_overload”配置设置的处理中发现一个缺陷。为一台虚拟主机或在用户的 .htaccess 文件中设置的值被错误地应用于同一服务器上的其他虚拟主机，导致多字节字符串的处理无法正确运行。(CVE-2009-0754)

在 PHP 的 imageloadfont 函数中发现一个缓冲区溢出缺陷。如果某个 PHP 脚本允许远程攻击者加载精心构建的字体文件，则可以导致 PHP 解释器崩溃，或者可能执行任意代码。(CVE-2008-3658)

在 FastCGI 模式下运行时 PHP 处理某些文件扩展名的方式中发现一个缺陷。如果通过 FastCGI 执行 PHP 解释器，则远程攻击者可以创建请求，导致 PHP 解释器崩溃。(CVE-2008-3660)

在 PHP gd 扩展的 imagerotate 函数中发现一个内存泄露缺陷。能够将任意值作为该函数的“background color”参数进行传递的远程攻击者可能可以查看 PHP 解释器的部分内存。(CVE-2008-5498)

在 PHP 报告无效 cookie 错误的方式中发现一个跨站脚本缺陷。如果 PHP 解释器启用了“display_errors”，能够在受害者的系统上设置特别构建的 cookie 的远程攻击者可能可以将任意 HTML 注入到由 PHP 生成的错误消息中。(CVE-2008-5814)

建议所有 php 用户升级这些更新后的程序包，其中包含用于解决这些问题的向后移植的修补程序。必须重新启动 httpd web 服务器才能使更改生效。

远程MiracleLinux 3 主机上存在安装的程序包该程序包受到 AXSA:2009-38:01 公告中提及的多个漏洞的影响。

    PHP 是一种 HTML 嵌入脚本语言。PHP 试图让开发人员轻松编写动态生成的网页。PHP 还为多个商业和非商业数据库管理系统提供内置数据库集成因此使用 PHP 编写启用数据库的网页相当简单。PHP 编码最常见的用途可能是替换 CGI 脚本。
    php 程序包包含可为 Apache HTTP 服务器添加 PHP 语言支持的模块。
    修复的缺陷：
    在低于CVE-2008-36584.4.9 ] 的PHP 4.4.x ] 和低于 5.2.6-r6 的 PHP 5.2 中ext/gd/gd.c 的 imageloadfont 函数中的缓冲区溢出允许上下文有关的攻击者造成拒绝服务崩溃并可能执行通过构建的字体文件发送的任意代码。
    CVE-2008-3660 PHP 4.4.x 之前的 4.4.9以及 5.x 到 5.2.6版在用作 FastCGI 模块时允许远程攻击者通过扩展名前含有多个点的请求造成拒绝服务崩溃如使用 foo 所示。 .php。
    CVE-2008-5498 PHP 5.2.8 和更早版本中 imageRotate 函数内存在数组索引错误这允许上下文有关的攻击者通过索引图像的第三个参数即 bgd_color 或 clrBack 参数的特别构建值读取任意内存位置的内容。
    CVE-2008-5557 PHP 4.3.0 到 5.2.6 ] 中 mbstring 扩展内的 ext/mbstring/libmbfl/filters/mbfilter_htmlent.c 存在基于堆的缓冲区溢出允许上下文有关的攻击者通过包含 HTML 实体的构建字符串执行任意代码Unicode 转换期间未正确处理与 (1) mb_convert_encoding、(2) mb_check_encoding、(3) mb_convert_variables 和 (4) mb_parse_str 函数相关的问题。
    CVE-2008-5814 启用 display_errors 时PHP 中可能是 5.2.7 和更早版本的 [] 跨站脚本 (XSS) 漏洞允许远程攻击者通过不明矢量注入任意 Web 脚本或 HTML。注意:
    由于缺少详细信息尚不清楚这是否与 CVE-2006-0208有关。
    CVE-2009-0754 PHP 4.4.4、 5.1.6和其他版本在 Apache 上运行时允许本地用户通过修改 .htaccess 中的 mbstring.func_overload 设置来修改同一 Web 服务器上托管的其他站点的行为从而导致此设置应用到同一台服务器上的其他虚拟主机。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

来自 Red Hat 安全公告 2009:0337：

更新后的 php 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 3 和 4。

Red Hat 安全响应团队将此更新评级为具有中等安全影响。

PHP 是一种嵌入了 HTML 的脚本语言，通常用于 Apache HTTP Web 服务器。

在 PHP 的 mbstring 扩展中发现一个基于堆的缓冲区溢出缺陷。能够使用 mbstring 转换功能将任意输入传递到 PHP 的远程攻击者可以导致 PHP 解释器崩溃，或者可能执行任意代码。
(CVE-2008-5557)

在“mbstring.func_overload”配置设置的处理中发现一个缺陷。为一台虚拟主机或在用户的 .htaccess 文件中设置的值被错误地应用于同一服务器上的其他虚拟主机，导致多字节字符串的处理无法正确运行。(CVE-2009-0754)

在 PHP 的 imageloadfont 函数中发现一个缓冲区溢出缺陷。如果某个 PHP 脚本允许远程攻击者加载精心构建的字体文件，则可以导致 PHP 解释器崩溃，或者可能执行任意代码。(CVE-2008-3658)

在 FastCGI 模式下运行时 PHP 处理某些文件扩展名的方式中发现一个缺陷。如果通过 FastCGI 执行 PHP 解释器，则远程攻击者可以创建请求，导致 PHP 解释器崩溃。(CVE-2008-3660)

在 PHP gd 扩展的 imagerotate 函数中发现一个内存泄露缺陷。能够将任意值作为该函数的“background color”参数进行传递的远程攻击者可能可以查看 PHP 解释器的部分内存。(CVE-2008-5498)

建议所有 php 用户升级这些更新后的程序包，其中包含用于解决这些问题的向后移植的修补程序。必须重新启动 httpd web 服务器才能使更改生效。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
35750	PHP < 5.2.9 多种漏洞	Nessus	CGI abuses	2009/2/27	2025/5/26	medium
60561	Scientific Linux 安全更新：SL3.x、SL4.x、SL5.x i386/x86_64 中的 php	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
67818	Oracle Linux 5：php (ELSA-2009-0338)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	high
284127	MagicLinux 3php-5.1.6-23.2AXS3 (AXSA:2009-38:01)	Nessus	Miracle Linux Local Security Checks	2026/1/14	2026/1/14	medium
67817	Oracle Linux 3 / 4：php (ELSA-2009-0337)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical

检测

插件搜索

medium

critical

high

medium

critical