JVNVU#520827: PHP-CGI の query string の処理に脆弱性

PHP には、CGI として使用される設定において query string をコマンドラインオプションとして認識してしまう脆弱性が存在します。

PHP には、CGI として使用される設定において query string をコマンドラインオプションとして認識してしまう脆弱性が存在します。

遠隔の第三者によって、php スクリプトの内容を取得されたり、サービス運用妨害 (DoS) 攻撃を受けたり、ウェブサーバの権限で任意のコードを実行されたりする可能性があります。

アップデートする
The PHP Group が提供する情報をもとに、最新版へアップデートしてください。

ワークアラウンドを実施する
対策版を適用するまでの間、以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

詳しくは、The PHP Group が提供する情報をご確認ください。

ベンダ	リンク
The PHP Group	PHP 5.4.3 and PHP 5.3.13 Released!
	PHP 5.3.12 and 5.4.2 releases about CGI flaw (CVE-2012-1823)
	PHP 5.3.12 and PHP 5.4.2 Released!
	PHP: CGI バイナリとしてインストール - Manual

US-CERT Vulnerability Note VU#520827
PHP-CGI query string parameter vulnerability

2012.05.07における脆弱性分析結果緊急

評価尺度	攻撃成立条件	評価値
攻撃経路	インターネット経由からの攻撃が可能	高
認証レベル	匿名もしくは認証なしで攻撃が可能	高
攻撃成立に必要なユーザーの関与	ユーザが何もしなくても脆弱性が攻撃される可能性がある	高
攻撃の難易度	専門知識や運がなくとも攻撃可能	高

JVNVU#520827 PHP-CGI の query string の処理に脆弱性 緊急