Collecte il y a 5 min P-News

P3 · Modérée · PHP

PHP : déni de service — corrigée en 2.1.12, 1.21.12, 2.5.5

Vulnérabilité dans MongoDB PHP Driver

P3Modérée

Cycle de mise à jour mensuel

Pourquoi ce niveau : Gravité pas encore publiée : à requalifier dès que l'éditeur ou la NVD la donne.

À distanceGravité à qualifier

Ce qu'il faut faire

  1. Vérifier si vous êtes concerné

    Versions ou systèmes touchés :

    PHP Driver versions 2.1.x antérieures à 2.1.12

    PHP Driver versions 1.x.x antérieures à 1.21.12

    PHP Driver versions 2.5.x antérieures à 2.5.5

    php -v
php-fpm -v

  2. Corriger

    Versions corrigées : 2.1.12, 1.21.12, 2.5.5.

    Mettre à jour PHP (paquets de la distribution ou version officielle), puis redémarrer tous les processus PHP : PHP-FPM, Apache avec mod_php, workers.

    Migrer toute branche qui ne reçoit plus de correctifs (voir le panneau « Versions de référence »).

    sudo apt update && sudo apt install --only-upgrade "php*"
sudo systemctl restart php*-fpm apache2

  3. En attendant le correctif

    Bloquer ou filtrer au pare-feu applicatif (WAF) les requêtes qui exploitent la faille, si une règle est publiée.

    Isoler du réseau les serveurs exposés qui ne peuvent pas être corrigés rapidement.

  4. Contrôler

    php -v doit afficher la version corrigée, y compris pour PHP-FPM (php-fpm -v) et dans un phpinfo() servi par le site.

    Rechercher dans les journaux d'accès des requêtes anormales depuis la date de divulgation.

Commandes indicatives (Debian ou Ubuntu) : à adapter à chaque serveur, après sauvegarde.

Description

Une vulnérabilité a été découverte dans MongoDB PHP Driver. Elle permet à un attaquant de provoquer un déni de service à distance. Risques : Déni de service à distance.