CVE-2016-5385
Açıklama
7.0.8 sürümü dahil PHP, RFC 3875 bölüm 4.1.18 isim alanı çakışmalarını gidermeye çalışmamaktadır ve bu nedenle uygulamaları HTTP_PROXY ortam değişkenindeki güvenilmeyen istemci verilerinin varlığına karşı korumamaktadır; bu durum, bir HTTP isteğindeki hazırlanmış bir Proxy başlığı aracılığıyla uzaktan saldırganların, uygulamanın giden HTTP trafiğini rastgele bir proxy sunucusuna yönlendirmesine izin verebilir. Bu durum, (1) getenv('HTTP_PROXY') çağrısı yapan bir uygulama veya (2) PHP'nin bir CGI yapılandırması ile örneklendiği üzere, "httpoxy" sorunu olarak da bilinmektedir.
Nasıl düzeltilir
- php php5.5.38, 5.6.24 ya da sonraki bir sürüm
- drupal drupal8.1.7 ya da sonraki bir sürüm
- guzzlehttp/guzzle6.2.1, 4.2.4, 5.3.1 ya da sonraki bir sürüm
- drupal/core8.1.7 ya da sonraki bir sürüm
- bugsnag/bugsnag-laravel2.0.2 ya da sonraki bir sürüm
- amphp/artax1.0.4, 2.0.4 ya da sonraki bir sürüm
- padraic/humbug_get_contents1.1.2 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/7RMYXAVNYL2MOBJTFATE73TOVOEZYC5R/
- security.gentoo.org/glsa/201611-22
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/KZOIUYZDBWNDDHC6XTOLZYRMRXZWTJCP/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/GXFEIMZPSVGZQQAYIQ7U7DFVX3IBSDLF/
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| oracle communications_user_data_repository | 10.0.0, 10.0.1, 12.0.0 | — |
| oracle enterprise_manager_ops_center | 12.2.2, 12.3.2 | — |
| oracle linux | 6, 7 | — |
| fedoraproject fedora | 23, 24 | — |
| hp storeever_msl6480_tape_library_firmware | v ≤ 5.09 | — |
| hp system_management_homepage | v ≤ 7.5.5.0 | — |
| php php | 5.5.0 ≤ v < 5.5.38, 5.6.0 ≤ v < 5.6.24, 7.0.0 ≤ v ≤ 7.0.8 | 5.5.38, 5.6.24 |
| redhat enterprise_linux_desktop | 6.0 | — |
| redhat enterprise_linux_server | 6.0 | — |
| redhat enterprise_linux_workstation | 6.0 | — |
| debian debian_linux | 8.0 | — |
| opensuse leap | 42.1 | — |
| drupal drupal | 8.0.0 ≤ v < 8.1.7 | 8.1.7 |
| guzzlehttp/guzzlePackagist | 6 ≤ v < 6.2.1, 4.0.0-rc2 ≤ v < 4.2.4, 5 ≤ v < 5.3.1 | 6.2.1, 4.2.4, 5.3.1 |
| drupal/corePackagist | 8.0 ≤ v < 8.1.7 | 8.1.7 |
| bugsnag/bugsnag-laravelPackagist | v < 2.0.2 | 2.0.2 |
| amphp/artaxPackagist | v < 1.0.4, 2.0.0 ≤ v < 2.0.4 | 1.0.4, 2.0.4 |
| padraic/humbug_get_contentsPackagist | v < 1.1.2 | 1.1.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.