Blog

スクリプト言語「PHP」にセキュリティアップデート ~ZIPアーカイブの扱いに問題

ニュース

「PHP 8.0.11」「PHP 7.4.24」「PHP 7.3.31」が公開

2021年9月24日 15:45

「PHP 8.0.11」「PHP 7.4.24」「PHP 7.3.31」が公開

 スクリプト言語「PHP」が、9月23日にアップデートされた。現在、公式サイト「php.net」から「PHP 8.0.11」「PHP 7.4.24」「PHP 7.3.31」がダウンロード可能。脆弱性を修正したセキュリティアップデートとなっているので注意したい。

 今回修正された脆弱性(CVE-2021-21706)は、ZIP形式書庫ファイルの扱いに関するもの。「p_zip_make_relative_path()」の実装がWindowsの絶対パスを適切に扱わない(スラッシュで始まるパスを絶対パスと扱う)ため、「ZipArchive::extractTo()」で与えられた出力フォルダーの外に置かれたファイルをZIPアーカイブに含めてしまうことができるという。

 この問題はかなり古くから存在したようで、影響範囲は大きそうだ。古い「PHP」バージョンでZIPアーカイブを扱っている場合は、修正バージョンへのアップデートが必要となる。

スクリプト言語「PHP」にセキュリティアップデート ~ZIPアーカイブの扱いに問題

 そのほかにも本バージョンでは文字列を連結する際の整数オーバーフローや「msg_send」で確認されたヒープオーバーフローが修正されているとのこと。

ホット記事

iPhoneやパソコンでWebサイトをPDFで保存する方法 | Business Insider Japan

iPhoneやパソコンでWebサイトをPDFで保存する方法 | Business Insider Japan

無料のメールマガジンに登録平日17時にBusiness Insider Japanのメルマガをお届け。利用規約を確認iPhoneのSafariを含め各種ウェブブラウザーから、ウェブサイトをPDFとして保存できる。撮影:今村拓馬Webページは突...

続きを読む 続きを読む
Yahoo!ニュース 伝統の「小紋染め」紋様をデジタル化へ 消滅危機、老舗社長の挑戦

Yahoo!ニュース 伝統の「小紋染め」紋様をデジタル化へ 消滅危機、老舗社長の挑戦

富田篤さんが広げる手前のファイルには、保存状態の良い型紙をできるだけ空気に触れさせないよう入れている。デジタル化に備えて、劣化を防ぐためだ=東京都新宿区の富田染工芸で2021年12月10日午前、近藤浩之撮影 ...

続きを読む 続きを読む
ニュース 録画忘れでも大丈夫!オリンピックの名場面をスマホであとから見る方法

ニュース 録画忘れでも大丈夫!オリンピックの名場面をスマホであとから見る方法

アーカイブ配信の利用方法を解説選手のプレーはもちろん、ユニークな解説などでも注目が集まる東京オリンピック。話題になったのに見逃してしまったり、録画していなかったりした場合でも、あとから好きなタイミング...

続きを読む 続きを読む

関連記事