PHP セッションのシリアル化で、入力検証の欠陥が見つかりました。
PHP スクリプトが安全でないユーザー入力からセッション変数名を生成した場合、リモートの攻撃者がこの欠陥を悪用し、PHP セッションに任意の変数を投入する恐れがあります。（CVE-2010-3065）

PHP var_export() 関数の実装に、情報漏洩の欠陥が見つかりました。この関数の実行中（メモリまたはスクリプト実行時間制限の実行など）に、致命的なエラーが発生した場合、関数出力の一部がスクリプト出力としてユーザーに送信され、機密情報の漏洩につながる恐れがあります。（CVE-2010-2531）

PHP utf8_decode() 関数が、一部のマルチバイトシーケンスをエスケープせず出力用に送信してマルチバイトエンコーディング用にデコードする方法で、数値切り捨てエラーおよび入力検証の欠陥が見つかりました。攻撃者がこの欠陥を悪用して、クロスサイトスクリプティング攻撃を実行する可能性があります。（CVE-2009-5016、CVE-2010-3870）

PHP lcg_value() 関数が不十分なエントロピーを使用して、擬似乱数発生器をシードしていたことが判明しました。リモートの攻撃者がこの欠陥を悪用し、デフォルトでセッション識別子を生成する際に使用する関数からの戻り値を予測する恐れがあります。
この更新では、シード時により多くのエントロピーを使用するよう、関数の実装を変更します。（CVE-2010-1128）

PHP fnmaatch () 関数が、パターン引数の長さを制限していないことが分かりました。リモートの攻撃者がこの欠陥を悪用し、スクリプトが信頼されていない一致パターンで fnmatch() を使用する際に PHP インタープリターをクラッシュする恐れがあります。（CVE-2010-1917）

PHP XML-RPC 拡張で、NULL ポインターデリファレンスの欠陥が見つかりました。悪意のある XML-RPC クライアントまたはサーバーがこの欠陥を悪用し、特別に細工された XML-RPC リクエストを介して PHP インタープリターをクラッシュする恐れがあります。
（CVE-2010-0397）

更新したパッケージをインストールした後、更新を有効にするために httpd デーモンを再起動する必要があります。

PHP 5.3.3 への更新、PHP 5.3.3 でのセキュリティの機能強化と修正： * 出力バッファではなく smart_str を使用するように var_export() を書き直すことで、致命的なエラーが発生した場合のデータ漏洩を防止します（CVE-2010-2531）。* shm_put_var() で見込まれるリソース破壊の問題を修正しました。* XOR オペレーターの割り込みにより見込まれる情報漏洩を修正しました。* 参照による想定外の call-time パスによるメモリ破損、およびそれに続くコールバックを通したメモリ上書きを修正しました。* ArrayObject::uasort() で見込まれるメモリ破損を修正しました。* parse_str() で見込まれるメモリ破損を修正しました。* pack() で見込まれるメモリ破損を修正しました。* substr_replace() で見込まれるメモリ破損を修正しました。* addcslashes() で見込まれるメモリ破損を修正しました。* fnmatch() 内部で見込まれるスタックの枯渇を修正しました。* 見込まれるチャンク解除フィルターのバッファオーバーフローを修正しました。* sqlite 拡張モジュール内部で見込まれる任意のメモリアクセスを修正しました。* phar モジュール内部の文字列形式の検証を修正しました。* 特定のプレフィックス文字でのセッション変数シリアル化の処理を修正しました。* 無効な XML-RPC リクエスト処理時の、NULL ポインターデリファレンスを修正しました（CVE-2010-0397、バグ #51288 の修正）。* SplObjectStorage のシリアル化解除の問題を修正しました（CVE-2010-2225）。* mysqlnd_list_fields、mysqlnd_change_user で見込まれるバッファオーバーフローを修正しました。* mysqlnd でのエラーパケット処理時の、見込まれるバッファオーバーフローを修正しました。完全な Upstream の変更ログ：http://www.php.net/ChangeLog-5.php#5.3.3

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

PHP は、複数のセキュリティ問題を修正するバージョン 5.3.3 に更新されています。

（CVE-2010-0397、CVE-2010-1860、CVE-2010-1862、CVE-2010-1864、 CVE-2010-1866、CVE-2010-1914、CVE-2010-1915、CVE-2010-1917、 CVE-2010-2093、CVE-2010-2094、CVE-2010-2097、CVE-2010-2100、 CVE-2010-2101、CVE-2010-2190、CVE-2010-2191、CVE-2010-2225、 CVE-2010-2531、CVE-2010-2950、CVE-2010-3062、CVE-2010-3063、 CVE-2010-3064、CVE-2010-3065）

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
60908	Scientific Linux セキュリティ更新：SL4.x、SL5.x i386/x86_64 の php	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
48412	Fedora 13：maniadrive-1.2-22.fc13 / php-5.3.3-1.fc13 / php-eaccelerator-0.9.6.1-2.fc13（2010-11481）	Nessus	Fedora Local Security Checks	2010/8/24	2021/1/11	high
49210	openSUSE セキュリティ更新：apache2-mod_php5 （openSUSE-SU-2010:0599-1）	Nessus	SuSE Local Security Checks	2010/9/13	2021/1/14	high
75429	openSUSE セキュリティ更新：apache2-mod_php5 （openSUSE-SU-2010:0599-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	high

检测

插件搜索

medium

high

high

high