1<?php 2$_SERVER['BASE_PAGE'] = 'releases/4_2_2_fr.php'; 3include_once __DIR__ . '/../include/prepend.inc'; 4site_header("Annonce de publication de PHP 4.2.2", ["lang" => "fr"]); 5?> 6 7<h1> 8Alerte de sécurité PHP : Vulnérabilité dans 9les versions 4.2.0 et 4.2.1 de PHP 10</h1> 11 12<p>[ <a href="/releases/4_2_2.php">English Version</a> ]</p> 13 14<dl> 15 <dt>Date:</dt> 16 <dd>22 Juillet 2002</dd> 17 <dt>Logiciel:</dt> 18 <dd>PHP versions 4.2.0 et 4.2.1</dd> 19 <dt>Plates-formes:</dt> 20 <dd>Toutes</dd> 21</dl> 22 23<p> 24 Le PHP Group a pris connaissance d'un trou de sécurité sérieux en PHP 25 version 4.2.0 et 4.2.1. Un intrus pourrait exécuter un code arbitraire sur 26 le serveur, avec les mêmes privilèges que celui qui exécute le serveur web. 27 Cette vulnérabilité peut être exploitée pour compromettre le serveur web, 28 et dans certaines circonstances, obtenir des droits spéciaux. 29</p> 30 31<h2>Description</h2> 32 33<p> 34 PHP contient du code qui analyse finement les entêtes des requêtes 35 HTTP POST. Le code est utilisé pour différencier les variables des 36 fichiers qui sont envoyés par le navigateur, avec l'encodage 37 "multipart/form-data". Cet analyseur ne vérifie pas suffisamment 38 les données d'entrée, ce qui conduit à une 39 vulnérabilité. 40</p> 41 42<p> 43 La vulnérabilité est exploitable par quiconque peut envoyer des requêtes 44 HTTP POST à un serveur web utilisant PHP versions 4.2.0 et 4.2.1. Des 45 utilisateurs, locaux ou distants, même derrière un pare-feu, pourraient 46 obtenir des autorisations indues sur la machine. 47</p> 48 49<h2>Impact</h2> 50 51<p> 52 Les utilisateurs, tant locaux que distants, peuvent exploiter cette 53 vulnérabilité pour compromettre le serveur web, et, dans certaines circonstances, 54 obtenir des autorisations indues. Jusqu'à présent, seule la plate-forme 55 IA32 a pu passer les tests de sécurité. Cette vulnérabilité peut être utilisée 56 sous IA32 pour crasher PHP et, dans la plupart des cas, le serveur web. 57</p> 58 59<h2>Solution</h2> 60 61<p> 62 Le PHP Group a publié une nouvelle version PHP version, 4.2.2, qui inclus 63 une correction pour cette vulnérabilité. Tous les utilisateurs des versions de PHP 64 affectées sont encouragés à passer à cette nouvelle version. L'URL de 65 téléchargement est : 66 <a href="http://www.php.net/downloads.php">http://www.php.net/downloads.php</a> 67 sous forme de sources (tarballs), exécutable Windows et source patches 68 pour les versions 4.2.0 et 4.2.1. 69</p> 70 71<h2>Autre solution</h2> 72 73<p> 74 Si les applications PHP n'utilisent pas la méthode POST sur un serveur 75 affecté, il est possible de simplement interdire les requêtes POST sur le 76 serveur. 77</p> 78 79<p> 80 Sous Apache, par exemple, il est possible d'utiliser le code suivant 81 dans le fichier de configuration principal, ou avec un fichier .htaccess 82 placé suffisamment près de la racine : 83</p> 84 85<pre> 86<Limit POST> 87 Order deny,allow 88 Deny from all 89</Limit> 90</pre> 91 92<p> 93 Notez qu'une autre configuration ou/et un autre fichier .htaccess avec 94 certains paramètres, peuvent annuler l'effet de l'exemple ci-dessus. 95</p> 96 97<h2>Crédits</h2> 98 99<p> 100 Le PHP Group remercie Stefan Esser de e-matters GmbH pour la découverte 101 de cette vulnérabilité. 102</p> 103 104<?php site_footer(); ?> 105
