Sécurité : Failles dans le serveur Apache et le langage PHP

Le milieu Open Source signale deux failles notables : l'une dans le langage PHP, l'autre frappant le serveur Apache. La première permet à un utilisateur distant d'exécuter un programme sur un serveur supportant PHP. Toutes les versions récentes, 4.20-dev mise à part, doivent soit être corrigées à l'aide d'une rustine, soit remplacées par l'édition 4.1.2. Les différents éditeurs de distributions Linux proposent un correctif propre à leurs distributions.

Coté Apache, le Mod_SSL, une interface à Open_SSL, peut être victime d'un débordement de tampon. Il faut toutefois que la vérification du certificat client soit activée et qu'elle se fasse par une autorité de certification autorisée par le serveur Web. Un correctif est disponible, même si les probabilités d'exploitation sont excessivement limitées.