BLSA-2016:0062 – [重要] php 安全警告及修复方法


  • BCLinux Developers

    BLSA-2016:0062 – [中等] php 安全警告及修复方法

    问题描述

    php最近暴露出一个安全漏洞,攻击者利用这个漏洞可以通过执行恶意的PHP脚本将用户的HTTP请求重定向到攻击者控制的某个代理服务器上,从而进行钓鱼等其它欺骗行为。为了增加安全强度,建议所有受影响的 BCLinux 用户都安装 BCLinux 提供的升级包,升级包包含了修复这些漏洞的补丁文件。

    PHP简介
    PHP(Hypertext Preprocessor,即“超文本预处理器”)是一种通用开源脚本语言。语法吸收了C语言、Java和Perl的特点,利于学习,使用广泛,主要适用于Web开发领域。PHP 独特的语法混合了C、Java、Perl以及PHP自创的语法。它可以比CGI或者Perl更快速地执行动态网页。用PHP做出的动态页面与其他的编程语言相比,PHP是将程序嵌入到HTML(标准通用标记语言下的一个应用)文档中去执行,执行效率比完全生成HTML标记的CGI要高许多;PHP还可以执行编译后代码,编译可以达到加密和优化代码运行,使代码运行更快。

    影响版本

    • BigCloud Enterprise Linux 7
    • BigCloud Enterprise Linux 6
    • Red Hat Enterprise Linux 7
    • Red Hat Enterprise Linux 6
    • CentOS Linux 7
    • CentOS Linux 6

    详细描述

    • CVE-2016-5385
      由于HTTP_PROXY变量名冲突导致PHP暴露出一个安全漏洞,攻击者利用这个漏洞可以通过执行恶意的PHP脚本将用户的HTTP请求重定向到攻击者控制的某个代理服务器上从而达到进行攻击的目的。

    解决方案

    目前,BCLinux 的官方源已经提供了 php 的更新软件包
    BCLinux 6 用户需要升级到 5.3.3-48.el6_8 版本
    BCLinux 7 用户需要升级到 5.4.16-36.3.el7_2版本

    以BCLinux 7用户为例:

    1.检查YUM源设置,确保使用的是BCLinux官方YUM源

    [root@BCLinux ~]# ls -l /etc/yum.repos.d/
    

    2.安装更新

    [root@BCLinux ~]# yum update php
    

    3.复查

    [root@BCLinux ~]# rpm -qa | grep php
    

    4.重启应用
    安装升级包以后,需要重启应用。

    外部链接

    1.BCLinux安全更新


登录后回复
 

与 BC-LINUX 的连接断开,我们正在尝试重连,请耐心等待