php - PHP 5.6 漏洞 CVE-2018-7584

Question

我们在生产环境中使用 PHP 5.6.33 和 CentOS。我们发现 PHP 存在以下漏洞 CVE-2018-7584。在官方页面上显示如下：

在 PHP 到 5.6.33、7.0.x 到 7.0.28、7.1.x 到 7.1.14 和 7.2.x 到 7.2.2 中，在解析 php_stream_url_wrap_http_ex 中的 HTTP 响应时，存在一个基于堆栈的缓冲区读取不足ext/standard/http_fopen_wrapper.c 中的函数。这随后会导致复制一个大字符串。

参考： https ://www.cvedetails.com/cve-details.php?t=1&cve_id=CVE-2017-7679 https://www.exploit-db.com/exploits/44846/

似乎 PHP 7.2 也有同样的漏洞。有什么解决方案或解决方法吗？

Answer 1

有什么解决方案或解决方法吗？

短期解决方案：sudo yum --security upgrade

长期解决方案：自动安全升级，这样您就不会让自己警觉疲劳。

如果 CentOS 本身没有为您提供最新的 PHP 安全补丁（就像他们应该做的那样），请改用 Remi 的存储库，在撰写本文时它提供了5.6.38。