PHP “Unserialize()”安全漏洞

2014-12-25

字数统计: 312字 | 阅读时长: 1分 | 本文总阅读量0次

来源：Linux社区作者：Linux 受影响系统： PHP PHP < 5.4.36 描述： CVE(CAN) ID: CVE-2014-8142 PHP是广泛使用的通用目的脚本语言，特别适合于Web开发，可嵌入到HTML中。 PHP 5.4.36之前版本，”process_nested_data()”函数在实现上存在释放后重利用漏洞，攻击者通过向”unserialize()” 函数传递构造的输入，利用此漏洞可破坏内存；”var_push_dtor()”函数在实现上存在空指针间接引用漏洞，攻击者通过向”unserialize()”函数传递构造的输入，利用此漏洞可造成崩溃。成功利用这些漏洞可造成任意代码执行。 <来源：Stefan Esser 链接：http://secunia.com/advisories/61236/ > 建议：厂商补丁： PHP —- 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： PHP: http://php.net/ChangeLog-5.php#5.4.36 https://bugs.php.net/bug.php?id=68594 Charlie Eriksen: https://bugs.php.net/bug.php?id=68545 CentOS 6.3 安装LNMP (PHP 5.4,MyySQL5.6) http://www.linuxidc.com/Linux/2013-04/82069.htm 在部署LNMP的时候遇到Nginx启动失败的2个问题 http://www.linuxidc.com/Linux/2013-03/81120.htm Ubuntu安装Nginx php5-fpm MySQL(LNMP环境搭建) http://www.linuxidc.com/Linux/2012-10/72458.htm

本文作者： 艾瑞可erik
本文链接： https://erik.xyz/2014/12/25/php-unserialize-an-quan-lou-dong/
版权声明： 本作品采用知识共享署名-非商业性使用-相同方式共享 4.0 国际许可协议进行许可。转载请注明出处！

jsonContent: meta: false pages: false posts: title: true date: true path: true text: false raw: false content: false slug: false updated: false comments: false link: false permalink: false excerpt: false categories: false tags: true