スクリプト言語「PHP」にセキュリティアップデート ～ZIPアーカイブの扱いに問題

ニュース

「PHP 8.0.11」「PHP 7.4.24」「PHP 7.3.31」が公開

2021年9月24日 15:45

「PHP 8.0.11」「PHP 7.4.24」「PHP 7.3.31」が公開

　スクリプト言語「PHP」が、9月23日にアップデートされた。現在、公式サイト「php.net」から「PHP 8.0.11」「PHP 7.4.24」「PHP 7.3.31」がダウンロード可能。脆弱性を修正したセキュリティアップデートとなっているので注意したい。

　今回修正された脆弱性（CVE-2021-21706）は、ZIP形式書庫ファイルの扱いに関するもの。「p_zip_make_relative_path()」の実装がWindowsの絶対パスを適切に扱わない（スラッシュで始まるパスを絶対パスと扱う）ため、「ZipArchive::extractTo()」で与えられた出力フォルダーの外に置かれたファイルをZIPアーカイブに含めてしまうことができるという。

　この問題はかなり古くから存在したようで、影響範囲は大きそうだ。古い「PHP」バージョンでZIPアーカイブを扱っている場合は、修正バージョンへのアップデートが必要となる。

　そのほかにも本バージョンでは文字列を連結する際の整数オーバーフローや「msg_send」で確認されたヒープオーバーフローが修正されているとのこと。