Il y a quelques mois était publiée la version 5.3.7 de PHP, sans s'assurer que certains bugs critiques, comme celui de la fonction crypt(), avaient été corrigés.
Cela avait conduit a une sortie précipitée de PHP 5.3.8 contenant les correctifs nécessaires avec une alerte pour la version 5.3.7 .
Beaucoup ont alors espéré que les développeurs de PHP allaient changer de méthodes de travail.
Le 10 janvier sortait la version 5.3.9 de PHP qui contenait, entre autres, un correctif pour une vieille faille de sécurité qui permettait de fabriquer facilement des collisions dans une hashtable conduisant à un déni de service (faille déjà mentionnée ici-même).
Le hic fut que le correctif introduisait une nouvelle faille de sécurité qui, pour éviter de permettre de faire des collisions, permettait une exécution arbitraire de code.
Le 2 février fut publié la version 5.3.10, qui corrige la faille introduite par le correctif précédent.
- Serious Crypto Bug Found in PHP 5.3.7 (89 clics)
- Annonce de PHP 5.3.8 et alerte sur la 5.3.7 (27 clics)
- Le change log des dernieres version de php (38 clics)
- Critical PHP Remote Vulnerability Introduced in Fix for PHP Hashtable Collision DOS (49 clics)
- PHP before 5.3.9 computes hash values for form parameters without restricting the ability to trigger (42 clics)
- Le courriel d'explication de Stefan Esser (143 clics)
