漏洞信息详情

PHP‘unserialize()’函数类型混淆安全漏洞

• CNNVD编号：CNNVD-201406-728
• 危害等级： 高危
  
• CVE编号： CVE-2014-3515
• 漏洞类型：
• 发布时间： 2014-06-26
• 威胁类型： 远程
• 更新时间： 2022-08-08
• 厂        商： php
• 漏洞来源：

漏洞简介

PHP（PHP：Hypertext Preprocessor，PHP：超文本预处理器）是PHP Group和开放源代码社区共同维护的一种开源的通用计算机脚本语言。SPL（Standard PHP Library，PHP标准库）是其中的一个用于解决典型问题（standard problems）的接口与类的集合组件。

PHP 5.4.29及之前的版本和5.5.14之前的5.5.x版本的SPL组件存在类型混淆漏洞。远程攻击者可借助特制的字符串利用该漏洞执行任意代码。

漏洞公告

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：

http://www.php.net/ChangeLog-5.php

参考网址

来源:CONFIRM

链接:http://www-01.ibm.com/support/docview.wss?uid=swg21683486

来源:CONFIRM

链接:http://www.oracle.com/technetwork/topics/security/bulletinjan2015-2370101.HTML

来源:HP

链接:http://marc.info/?l=bugtraq&m=141017844705317&w=2

来源:BID

链接:https://www.securityfocus.com/bid/68237

来源:SECUNIA

链接:http://secunia.com/advisories/59794

来源:CONFIRM

链接:http://git.php.net/?p=php-src.git;a=commit;h=88223c5245e9b470e1e6362bfd96829562ffe6ab

来源:SECUNIA

链接:http://secunia.com/advisories/59831

来源:REDHAT

链接:http://rhn.redhat.com/errata/RHSA-2014-1766.HTML

来源:SECUNIA

链接:http://secunia.com/advisories/60998

来源:DEBIAN

链接:https://www.debian.org/security/2014/dsa-2974

来源:CONFIRM

链接:https://bugs.php.net/bug.php?id=67492

来源:CONFIRM

链接:http://www.php.net/ChangeLog-5.php

来源:CONFIRM

链接:http://support.CMS.zone.ci/e/tags/htag.php?tag=Apple target=_blank class=infotextkey>Apple.com/kb/HT6443

来源:REDHAT

链接:http://rhn.redhat.com/errata/RHSA-2014-1765.HTML

来源:SUSE

链接:http://lists.opensuse.org/opensuse-updates/2014-09/msg00046.HTML

受影响实体

• Php Php:5.4.27  
• Php Php:5.4.28  
• Php Php:5.4.26  
• Php Php:5.5.0:Alpha2  
• Php Php:5.5.0:Alpha3  

补丁

• php-5.5.14
• php-5.5.14
• php-5.4.30
• php-5.4.30
• file-FILE5_19