GCVE Workshop - 22 September 2026 (14:00-18:00), Luxembourg Before The Vulnopticon Conference - Registration

CERTA-2008-AVI-417

Vulnerability from certfr_avis - Published: - Updated:

Plusieurs vulnérabilités ont été identifiées dans PHP 4. Leur exploitation permettrait de perturber le système ou de récupérer des données confidentielles.

Description

Plusieurs vulnérabilités ont été identifiées dans PHP 4 :

  • la bibliothèque PCRE (Perl-Compatible Regular Expression) ne gère pas correctement certaines expressions régulières pouvant provoquer un débordement de pile ;
  • la fonction memnstr() appelée par explode() ne contrôlerait pas correctement certaines entrées ;
  • la fonction imageloadfont() (gd/ext) ne gère pas convenablement certains caractères ;
  • PHP ne manipulerait pas correctement certains liens avec des points multiples de type XXX..php ;
  • il est possible de contourner le safe_mode sous certaines conditions.
  • l'extension curl ne manipulerait pas correctement l'option open_basedir.

Certaines de ces vulnérabilités ont fait l'objet d'un correctif dans la branche 5 en juin 2008 et sont mentionnées dans l'avis CERTA-2008-AVI-225.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

  • Les versions PHP de la branche 4 antérieures à 4.4.9.

Cette branche ne devrait plus être maintenue à la fin de l'année 2008.

Impacted products
Vendor Product Description
References

Show details on source website
To clipboard 

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [],
  "affected_systems_content": "\u003cUL\u003e    \u003cLI\u003eLes versions PHP de la branche 4 ant\u00e9rieures \u00e0 4.4.9.\u003c/LI\u003e  \u003c/UL\u003e  \u003cP\u003eCette branche ne devrait plus \u00eatre maintenue \u00e0 la fin de  l\u0027ann\u00e9e 2008.\u003c/P\u003e",
  "content": "## Description\n\nPlusieurs vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 identifi\u00e9es dans PHP 4 :\n\n-   la biblioth\u00e8que PCRE (Perl-Compatible Regular Expression) ne g\u00e8re\n    pas correctement certaines expressions r\u00e9guli\u00e8res pouvant provoquer\n    un d\u00e9bordement de pile ;\n-   la fonction memnstr() appel\u00e9e par explode() ne contr\u00f4lerait pas\n    correctement certaines entr\u00e9es ;\n-   la fonction imageloadfont() (gd/ext) ne g\u00e8re pas convenablement\n    certains caract\u00e8res ;\n-   PHP ne manipulerait pas correctement certains liens avec des points\n    multiples de type XXX..php ;\n-   il est possible de contourner le safe_mode sous certaines\n    conditions.\n-   l\u0027extension curl ne manipulerait pas correctement l\u0027option\n    open_basedir.\n\nCertaines de ces vuln\u00e9rabilit\u00e9s ont fait l\u0027objet d\u0027un correctif dans la\nbranche 5 en juin 2008 et sont mentionn\u00e9es dans l\u0027avis\nCERTA-2008-AVI-225.\n\n## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des\ncorrectifs (cf. section Documentation).\n",
  "cves": [
    {
      "name": "CVE-2008-2371",
      "url": "https://www.cve.org/CVERecord?id=CVE-2008-2371"
    },
    {
      "name": "CVE-2008-2665",
      "url": "https://www.cve.org/CVERecord?id=CVE-2008-2665"
    },
    {
      "name": "CVE-2008-2666",
      "url": "https://www.cve.org/CVERecord?id=CVE-2008-2666"
    }
  ],
  "links": [
    {
      "title": "Commentaires de rapport de bogues Gentoo du 06 ao\u00fbt 2008 :",
      "url": "http://bugs.gentoo.org/show_bug.cgi?id=234102"
    },
    {
      "title": "Avis du CERTA CERTA-2008-AVI-225 du 25 juin 2008 :",
      "url": "http://www.certa.ssi.gouv.fr/site/CERTA-2008-AVI-225/"
    }
  ],
  "reference": "CERTA-2008-AVI-417",
  "revisions": [
    {
      "description": "version initiale.",
      "revision_date": "2008-08-14T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "D\u00e9ni de service \u00e0 distance"
    },
    {
      "description": "Contournement de la politique de s\u00e9curit\u00e9"
    },
    {
      "description": "Atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es"
    }
  ],
  "summary": "Plusieurs vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 identifi\u00e9es dans PHP 4. Leur\nexploitation permettrait de perturber le syst\u00e8me ou de r\u00e9cup\u00e9rer des\ndonn\u00e9es confidentielles.\n",
  "title": "Multiples vuln\u00e9rabilit\u00e9s dans PHP",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Note de changement de version PHP 4.4.9 du 07 ao\u00fbt 2008",
      "url": "http://www.php.net/ChangeLog-4.php#4.4.9"
    }
  ]
}



Log in or create an account to share your comment.




Tags
Taxonomy of the tags.





Forecast uses a logistic model when the trend is rising, or an exponential decay model when the trend is falling. Fitted via linearized least squares.

Sightings

Author Source Type Date Other

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or observed by the user.
  • Confirmed: The vulnerability has been validated from an analyst's perspective.
  • Published Proof of Concept: A public proof of concept is available for this vulnerability.
  • Exploited: The vulnerability was observed as exploited by the user who reported the sighting.
  • Patched: The vulnerability was observed as successfully patched by the user who reported the sighting.
  • Not exploited: The vulnerability was not observed as exploited by the user who reported the sighting.
  • Not confirmed: The user expressed doubt about the validity of the vulnerability.
  • Not patched: The vulnerability was not observed as successfully patched by the user who reported the sighting.


Detection rules are retrieved from Rulezet.


Related by attack behaviour

Vulnerabilities whose description is nearest to this one in the vector space of the CIRCL/vulnerability-attack-technique-biencoder model. This is a similarity search over the bi-encoder space (plain cosine), not a classification, and it has no measured accuracy.