5.2は昨年8までサポートされていたPHPリリースであったので,現在でも多くの方が利用していると思われます。5.2は一応セキュリティフィックスはリリースされることになっています。サポート状態は悪くないと考えられますが,十分とは言えない状態です。5.2のほうにセキュリティフィックスがリリースされてしばらく経ってから同じ脆弱性に対応した5.3がリリースされる状態が続いていました。5.3より5.2を利用していたほうがより安全と考えていた方も多いでしょう。先にセキュリティフィックスがリリースされるリリースを使ったほうがより安全であることは説明するまでもないでしょう。筆者も5.2のほうがより安全だと考えていた一人です。5.2のサポートが終了してすぐにこの状況は逆転しました。5.2には影響ありません。5.2.17に影響があるセキュリティフィックスです。これら4つともメモリエラーのバグであり,不正なメモリ参照(不正なメモリ参照は場合によってはSSLの秘密鍵も盗まれる)バッファオーバーフロー(場合によっては不正なコードを実行される)問題です。5.2.18はリリースされていません。(CVE-2011-0421)という状況になっています。5.2系の脆弱性には余程のことがない限り対応するつもりが無いと言えるでしょう。5.2を提供しているディストリビューターが対応するかどうかはCVEの説明文を見れば分かります。5.3.5以下に影響と記載されています。5.2以下のPHPの修正版をリリースすることはないでしょう。(CVE-2011-1092)整数オーバーフローにより不正なメモリ参照が可能となる。攻撃には攻撃用PHPスクリプトの実行が必要であり,攻撃が成功した場合はさらなる攻撃に必要なメモリ情報(カナリア値やメモリレイアウト情報など)やメモリ内の機密情報(パスワードや証明書など)を盗まれる可能性がある。(CVE-2011-1464)php.ini設定に異常に大きな浮動小数点の精度設定を行うとバッファーオーバーフローが発生する。php.iniファイルや.htaccessファイル,PHPスクリプトから設定変更が可能。任意コードの実行が可能とは思えないが,DoS攻撃に用いられる可能性がある。(CVE-2011-0708)Exif情報(JPEGファイルなどに保存されているGPSがタグ情報など)に細工したデータを注入することによりPHPがクラッシュする。詳細は不明だが画像処理関連コード内のクラッシュするメモリ問題はリモートからの任意コード実行に利用される場合も多い。(CVE-2011-0421)アーカイブ内に不正なファイル名を挿入することによりPHPがクラッシュする。詳細は不明だが圧縮関連コード内のクラッシュするメモリ問題はリモートからの任意コード実行に利用される場合も多い。この脆弱性を任意コード実行に利用することは非常に難しいと思われる。5.2でも十分なセキュリティパッチが提供されることを期待することは難しいことがお分かり頂けたと思います。5.2用にセキュリティパッチをリリースする予定はありません。5.3に移行する必要があります。セキュリティ確保にはまず正しい情報を知ることが必要です。本連載では少しでも安全にPHPを利用したWebサイトを運用できるよう,レガシー版のPHPのセキュリティ状態の概要をセキュリティパッチの解説を取り上げて紹介します。同校にてコンピュータサイエンスとビジネスを学ぶ。株式会社シーエーシーを経て,エレクトロニック・サービス・イニシアチブ有限会社を設立。オープンソース製品は比較的古くから利用し,Linuxは0.9xのころから利用している。オープンソースシステム開発への参加はエレクトロニック・サービス・イニシアチブ設立後から。PHPプロジェクトでは,PostgreSQLモジュールのメンテナンスを担当している。そこにはヒットメーカーの極意があった噂の超高速分析データベースを試してみよう~ログ解析,機械学習なんでもござれ~ワールドワイドで3,500社以上が活用しているビッグデータ高速分析用のデータベース「Vertica」。クエリ性能を簡単に数百倍にする術をご紹介します。「JIRA」をはじめとするアトラシアンのツール群。多くのオープンソースソフトウェアを継続して提供する支えとなっている使い易さを探ってみます。Cloud」が,いよいよ日本でのサービスを本格的に開始します。その他の連載CSS3アニメーションでつくるインターフェイス表現CSS3によるアニメーション表現を紹介していきます。その中でも,幅広い読者に応用してもらえるだろうインターフェイスを主なお題とします。MySQL道普請便り本連載では,MySQLを使ったアプリ開発・運用に関するノウハウをご紹介していきます。RecipeUbuntuの強力なデスクトップ機能を活用するための,いろいろなレシピをお届けします。JavaScriptセキュリティの基礎知識JavaScriptに関するセキュリティ上の問題はどこで発生し,どうすれば防ぐことができるのか?について解説していきます。〜システムをきちんと運用するための基礎知識システムは「作って終わり」ではなく,運用の中でさまざまな問題が発生します。問題の発生に備えて事前にどのような対応をしておくべきなのか,問題発生時に何をしなければならないのか,ポイントを解説していきます。きたみりゅうじの聞かせて珍プレーソフトウェア開発の現場で体験したトホホな失敗,思わずうなる珍プレーをきたみりゅうじ氏が四コママンガで紹介。Linuxのメンテナンスの傍ら,Linuxやオープンソースソフトと日々を過ごす著者が,その魅力とつきあい方を,エッセイ風味でお届けします。PRESS特別編集部員,さわやか笑顔のスーパーハカーはまちちゃんとネット大好き14歳わかばちゃんが,毎号,読者の皆さんから寄せられたおたよりを紹介します。皆さんの日頃の悩みにも答えちゃいますよ。]メールでのお知らせメールで次の案内をお送りしております。メールの配信を希望する方は,利用したい項目をチェックしてメールアドレスを入力し,[登録]ボタンをクリックしてください。UPDATES[ほぼ週間に1回]新刊メールマガジン[ほぼ週間に1回]電脳会議の各号案内[ほぼ1ヵ月半に1回]※変更する場合や停止する場合は,登録情報変更ページをご覧ください。※登録いただいたメールアドレスには,そのお知らせ以外,配信いたしません。Ltd.ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。