2018-1843: PHP: Mehrere Schwachstellen ermöglichen u. a. einen Cross-Site-Scripting-Angriff

Historie:

Version 1 (2018-09-14 12:27): Neues Advisory
Version 2 (2018-09-14 14:21): Der Hersteller stellt PHP 5.6.38 zur Behebung des PHP Sec Bug #76582 in diesem Versionszweig als Sicherheitsupdate bereit.
Version 3 (2018-09-20 12:23): Debian veröffentlicht für Debian Jessie (LTS) ein Sicherheitsupdate für 'php5', um die Schwachstelle CVE-2018-17082 zu beheben. Als Basisversion gibt der Hersteller PHP 5.6.38 an.

Betroffene Software

Entwicklung
Server

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Ein entfernter, nicht authentisierter Angreifer kann eine Schwachstelle in PHP für einen Cross-Site-Scripting (XSS)-Angriff ausnutzen. Zwei weitere von der PHP Group lediglich als Bugs bezeichnete Speicherlecks lassen sich von einem lokalen, einfach authentifizierten Angreifer möglicherweise für Denial-of-Service (DoS)-Angriffe ausnutzen. Die PHP Group stuft generell Programmfehler, welche nach der Konvention 'Bug #ID' benannt sind, nicht als Schwachstellen ein.

Der Hersteller stellt die PHP Releases 7.2.10, 7.1.22 und 7.0.32 zur Behebung der Schwachstellen und anderer Fehler zur Verfügung.

Für Fedora 27 und 28 stehen Sicherheitsupdates in Form der Pakete 'php-7.1.22-1.fc27' im Status 'pending' und 'php-7.2.10-1.fc28' im Status 'testing' bereit.

Schwachstellen:

CVE-2018-17082

Schwachstelle in PHP ermöglicht Cross-Site-Scripting-Angriff

PHP-BUG-75797

Schwachstelle in PHP ermöglicht Denial-of-Service-Angriff

PHP-BUG-76778