PHP 7.2.27リリース対応 PHPセキュリティ保守サービス パッチ配布開始

PHPプロジェクトによるPHP 7.1のメンテナンス期間は2019年12月のリリースで終了しました。今後、PHP 7.1以下の利用を継続されるには既知のセキュリティ問題を修正したPHPを利用する必要があります。ESIのPHPセキュリティ保守サービスではPHP 4.4以降のPHPに既知のセキュリティ問題を修正したバージョンをご利用頂けます。

以下はPHP 7.2.27に対応したPHPセキュリティ保守サービスのリリースノートです。

23 Jan 2020, PHP 7.2.27
    =================================================================================
    - Mbstring:
      . Fixed bug #79037 (global buffer-overflow in `mbfl_filt_conv_big5_wchar`). (CVE-2020-7060) (Nikita)
    PHP 5.4以降
    BIG5文字エンコーディングとしてCP950を利用した場合にバッファーオーバーフローが発生しメモリが破壊される。
    (PHP 5.3以下の場合、CP950サポートが無いため影響を受けない）
    BIG5文字エンコーディングのCP950を文字エンコーディングとして利用しない限り影響がない。
    ■　互換性
    問題なし
    ■　影響
    メモリ破壊を利用した攻撃に利用させる可能性がある。
    =================================================================================
    - Session:
      . Fixed bug #79091 (heap use-after-free in session_create_id()). (cmb, Nikita)
    PHP 7.1以降
    セッションIDのバリデーションに失敗した場合、開放後のメモリにアクセス可能になる。
    （PHP 4.4の場合、ポインターがNULL初期化されているため問題ない。）
    CSPRNG(random_bytes()など)を利用する場合、セッションIDの衝突は発生しない。またセッション
    IDをユーザーが定義可能でなければ攻撃はできない。
    ■　互換性
    問題無し
    ■　影響
    メモリ内容が漏洩する。（メモリ内容の漏洩は他のメモリ破壊攻撃や秘密情報漏洩に利用される場合がある）
    =================================================================================
    - Standard:
      . Fixed bug #79099 (OOB read in php_strip_tags_ex). (CVE-2020-7059). (cmb)
    PHP 4.4以降
    strip_tags()の実行時に範囲外のメモリを読み込む場合がある。
    攻撃用データをstrip_tags()で処理するとメモリ内容の一部が暴露する。
    ■　互換性
    問題無し
    ■　影響
    メモリ内容が漏洩する。（メモリ内容の漏洩は他のメモリ破壊攻撃や秘密情報漏洩に利用される場合がある）