cvs: phpweb / release_4_2_2.php release_4_2_2_fr.php release_4_3_0.php release_4_3_0_fr.php release_4_3_1.php release_4_3_2.php release_4_3_2_fr.php
| From: | Gabor Hojtsy | Date: | Thu, 14 Aug 2003 13:10:36 +0000 |
| Subject: | cvs: phpweb / release_4_2_2.php release_4_2_2_fr.php release_4_3_0.php release_4_3_0_fr.php release_4_3_1.php release_4_3_2.php release_4_3_2_fr.php | ||
| Groups: | php.mirrors | ||
| Request: | Send a blank email to php-mirrors+get-20283@lists.php.net to get a copy of this message | ||
goba Thu Aug 14 09:10:36 2003 EDT
Modified files:
/phpweb release_4_2_2_fr.php release_4_2_2.php release_4_3_0_fr.php
release_4_3_0.php release_4_3_1.php release_4_3_2_fr.php
release_4_3_2.php
Log:
Migrate all the remaining release announcements (except 4.1.0fr)
to the new WS layout, and the new header and footer functions.
Hopefully the PHP 4.3.3. annoucement will be presented in this
new format by default (caused by copy-pasting ;)
Index: phpweb/release_4_2_2_fr.php diff -u phpweb/release_4_2_2_fr.php:1.3 phpweb/release_4_2_2_fr.php:1.4 --- phpweb/release_4_2_2_fr.php:1.3 Sun Mar 2 11:56:37 2003 +++ phpweb/release_4_2_2_fr.php Thu Aug 14 09:10:36 2003 @@ -1,92 +1,104 @@ <?php -header("Cache-Control: public, max-age=600"); -require_once 'prepend.inc'; -header("Content-language: fr"); -commonHeader("Hypertext Preprocessor"); -echo "\n<!--$MYSITE-->\n"; +// $Id: release_4_2_2_fr.php,v 1.4 2003/08/14 13:10:36 goba Exp $ +$_SERVER['BASE_PAGE'] = 'release_4_2_2_fr.php'; +include_once $_SERVER['DOCUMENT_ROOT'] . '/include/prepend.inc'; +site_header("Annonce de publication de PHP 4.2.2"); ?> <h1> PHP Security Advisory: Vulnerability in PHP versions 4.2.0 and 4.2.1 </h1> -<p>[ <a href="/release_4_2_2.php">English Version</a> ] </p> +<p>[ <a href="/release_4_2_2.php">English Version</a> ]</p> -<p><table border="0" cellpadding="0" cellspacing="0"> -<tr><td>Date :</td><td> </td><td><b> 22 Juillet 2002</b></td></tr> -<tr><td>Logiciel :</td><td> </td><td><b>PHP versions 4.2.0 et 4.2.1</b></td></tr> -<tr><td>Plates-formes :</td><td> </td><td><b>Toutes</b></td></tr> -</table></p> - -<p>Le PHP Group a pris connaissance d'un trou de sécurité sérieux en PHP - version 4.2.0 et 4.2.1. Un intrus pourrait exécuter un code arbitraire sur - le serveur, avec les mêmes privilèges que celui qui exécute le serveur web. - Cette vulnérabilité peut être exploitée pour compromettre le serveur web, - et dans certaines circonstances, obtenir des droits spéciaux. +<dl> + <dt>Date:</dt> + <dd>22 Juillet 2002</dd> + <dt>Logiciel:</dt> + <dd>PHP versions 4.2.0 et 4.2.1</dd> + <dt>Plates-formes:</dt> + <dd>Toutes</dd> +</dl> + +<p> + Le PHP Group a pris connaissance d'un trou de sécurité sérieux en PHP + version 4.2.0 et 4.2.1. Un intrus pourrait exécuter un code arbitraire sur + le serveur, avec les mêmes privilèges que celui qui exécute le serveur web. + Cette vulnérabilité peut être exploitée pour compromettre le serveur web, + et dans certaines circonstances, obtenir des droits spéciaux. </p> - <h2>Description</h2> -<p> PHP contient du code qui analyse finement les entêtes des requêtes - HTTP POST. Le code est utilisé pour différencier les variables des - fichiers qui sont envoyés par le navigateur, avec l'encodage - "multipart/form-data". Cet analyseur ne vérifie pas suffisamment - les données d'entrée, ce qui conduit à une vulnérabilité.</p> +<p> + PHP contient du code qui analyse finement les entêtes des requêtes + HTTP POST. Le code est utilisé pour différencier les variables des + fichiers qui sont envoyés par le navigateur, avec l'encodage + "multipart/form-data". Cet analyseur ne vérifie pas suffisamment + les données d'entrée, ce qui conduit à une + vulnérabilité. +</p> -<p> La vulnérabilité est exploitable par quiconque peut envoyer des requêtes - HTTP POST à un serveur web utilisant PHP versions 4.2.0 et 4.2.1. Des - utilisateurs, locaux ou distants, même derrière un pare-feu, pourraient - obtenir des autorisations indues sur la machine.</p> - +<p> + La vulnérabilité est exploitable par quiconque peut envoyer des requêtes + HTTP POST à un serveur web utilisant PHP versions 4.2.0 et 4.2.1. Des + utilisateurs, locaux ou distants, même derrière un pare-feu, pourraient + obtenir des autorisations indues sur la machine. +</p> <h2>Impact</h2> -<p> Les utilisateurs, tant locaux que distants, peuvent exploiter cette - vulnérabilité pour compromettre le serveur web, et, dans certaines circonstances, - obtenir des autorisations indues. Jusqu'à présent, seule la plate-forme - IA32 a pu passer les tests de sécurité. Cette vulnérabilité peut être utilisée - sous IA32 pour crasher PHP et, dans la plupart des cas, le serveur web.</p> - +<p> + Les utilisateurs, tant locaux que distants, peuvent exploiter cette + vulnérabilité pour compromettre le serveur web, et, dans certaines circonstances, + obtenir des autorisations indues. Jusqu'à présent, seule la plate-forme + IA32 a pu passer les tests de sécurité. Cette vulnérabilité peut être utilisée + sous IA32 pour crasher PHP et, dans la plupart des cas, le serveur web. +</p> <h2>Solution</h2> -<p> Le PHP Group a publié une nouvelle version PHP version, 4.2.2, qui inclus - une correction pour cette vulnérabilité. Tous les utilisateurs des versions de PHP - affectées sont encouragés à passer à cette nouvelle version. L'URL de - téléchargement est : - <ul><a href="http://www.php.net/downloads.php">http://www.php.net/downloads.php</a></ul> - - sous forme de sources (tarballs), exécutable Windows et source patches - pour les versions 4.2.0 et 4.2.1.</p> - - +<p> + Le PHP Group a publié une nouvelle version PHP version, 4.2.2, qui inclus + une correction pour cette vulnérabilité. Tous les utilisateurs des versions de PHP + affectées sont encouragés à passer à cette nouvelle version. L'URL de + téléchargement est : + <a href="http://www.php.net/downloads.php">http://www.php.net/downloads.php</a> + sous forme de sources (tarballs), exécutable Windows et source patches + pour les versions 4.2.0 et 4.2.1. +</p> <h2>Autre solution</h2> -<p> Si les applications PHP n'utilisent pas la méthode POST sur un serveur - affecté, il est possible de simplement interdire les requêtes POST sur le - serveur. +<p> + Si les applications PHP n'utilisent pas la méthode POST sur un serveur + affecté, il est possible de simplement interdire les requêtes POST sur le + serveur. </p> -<p>Sous Apache, par exemple, il est possible d'utiliser le code suivant - dans le fichier de configuration principal, ou avec un fichier .htaccess - placé suffisamment près de la racine : - - <ul><code> - <Limit POST><br> - Order deny,allow<br> - Deny from all<br> - </Limit><br> - </code></ul> +<p> + Sous Apache, par exemple, il est possible d'utiliser le code suivant + dans le fichier de configuration principal, ou avec un fichier .htaccess + placé suffisamment près de la racine : +</p> + +<pre> +<Limit POST> + Order deny,allow + Deny from all +</Limit> +</pre> - Notez qu'une autre configuration ou/et un autre fichier .htaccess avec - certains paramètres, peuvent annuler l'effet de l'exemple ci-dessus.</p> - +<p> + Notez qu'une autre configuration ou/et un autre fichier .htaccess avec + certains paramètres, peuvent annuler l'effet de l'exemple ci-dessus. +</p> <h2>Crédits</h2> -<p> Le PHP Group remercie Stefan Esser de e-matters GmbH pour la découverte - de cette vulnérabilité.</p> +<p> + Le PHP Group remercie Stefan Esser de e-matters GmbH pour la découverte + de cette vulnérabilité. +</p> -<?php commonFooter(); ?> +<?php site_footer(); ?> Index: phpweb/release_4_2_2.php diff -u phpweb/release_4_2_2.php:1.3 phpweb/release_4_2_2.php:1.4 --- phpweb/release_4_2_2.php:1.3 Mon Jul 22 09:10:32 2002 +++ phpweb/release_4_2_2.php Thu Aug 14 09:10:36 2003 @@ -1,94 +1,101 @@ <?php -/* if you're reading this, it isn't because you've found a security hole. - this is an open source website. read and learn! */ - -header("Cache-Control: public, max-age=600"); - -require_once 'prepend.inc'; - -commonHeader("Hypertext Preprocessor"); -echo "\n<!--$MYSITE-->\n"; +// $Id: release_4_2_2.php,v 1.4 2003/08/14 13:10:36 goba Exp $ +$_SERVER['BASE_PAGE'] = 'release_4_2_2.php'; +include_once $_SERVER['DOCUMENT_ROOT'] . '/include/prepend.inc'; +site_header("PHP 4.2.2 Release Announcement"); ?> <h1> -PHP Security Advisory: Vulnerability in PHP versions 4.2.0 and 4.2.1 + PHP Security Advisory: Vulnerability in PHP versions 4.2.0 and 4.2.1 </h1> -<p>[ <a href="/release_4_2_2_fr.php">Version Française</a> ] </p> - -<p><table border="0" cellpadding="0" cellspacing="0"> -<tr><td>Issued on:</td><td> </td><td><b>July 22, 2002</b></td></tr> -<tr><td>Software:</td><td> </td><td><b>PHP versions 4.2.0 and 4.2.1</b></td></tr> -<tr><td>Platforms:</td><td> </td><td><b>All</b></td></tr> -</table></p> - -<p>The PHP Group has learned of a serious security vulnerability in PHP - versions 4.2.0 and 4.2.1. An intruder may be able to execute arbitrary - code with the privileges of the web server. This vulnerability may be - exploited to compromise the web server and, under certain conditions, - to gain privileged access.</p> +<p>[ <a href="/release_4_2_2_fr.php">Version Française</a> ]</p> +<dl> + <dt>Issued on:</dt> + <dd>July 22, 2002</dd> + <dt>Software:</dt> + <dd>PHP versions 4.2.0 and 4.2.1</dd> + <dt>Platforms:</dt> + <dd>All</dd> +</dl> + +<p> + The PHP Group has learned of a serious security vulnerability in PHP + versions 4.2.0 and 4.2.1. An intruder may be able to execute arbitrary + code with the privileges of the web server. This vulnerability may be + exploited to compromise the web server and, under certain conditions, + to gain privileged access. +</p> <h2>Description</h2> -<p>PHP contains code for intelligently parsing the headers of HTTP POST - requests. The code is used to differentiate between variables and files - sent by the user agent in a "multipart/form-data" request. This parser - has insufficient input checking, leading to the vulnerability.</p> - -<p>The vulnerability is exploitable by anyone who can send HTTP POST - requests to an affected web server. Both local and remote users, even - from behind firewalls, may be able to gain privileged access.</p> - +<p> + PHP contains code for intelligently parsing the headers of HTTP POST + requests. The code is used to differentiate between variables and files + sent by the user agent in a "multipart/form-data" request. This parser + has insufficient input checking, leading to the vulnerability. +</p> + +<p> + The vulnerability is exploitable by anyone who can send HTTP POST + requests to an affected web server. Both local and remote users, even + from behind firewalls, may be able to gain privileged access. +</p> <h2>Impact</h2> -<p>Both local and remote users may exploit this vulnerability to compromise - the web server and, under certain conditions, to gain privileged access. - So far only the IA32 platform has been verified to be safe from the - execution of arbitrary code. The vulnerability can still be used on IA32 - to crash PHP and, in most cases, the web server.</p> - +<p> + Both local and remote users may exploit this vulnerability to compromise + the web server and, under certain conditions, to gain privileged access. + So far only the IA32 platform has been verified to be safe from the + execution of arbitrary code. The vulnerability can still be used on IA32 + to crash PHP and, in most cases, the web server. +</p> <h2>Solution</h2> -<p>The PHP Group has released a new PHP version, 4.2.2, which incorporates - a fix for the vulnerability. All users of affected PHP versions are - encouraged to upgrade to this latest version. The downloads web site at - - <ul><a href="http://www.php.net/downloads.php">http://www.php.net/downloads.php</a></ul> - - has the new 4.2.2 source tarballs, Windows binaries and source patches - from 4.2.0 and 4.2.1 available for download.</p> - - +<p> + The PHP Group has released a new PHP version, 4.2.2, which incorporates + a fix for the vulnerability. All users of affected PHP versions are + encouraged to upgrade to this latest version. <a href="/downloads.php">The + downloads page</a> has the new 4.2.2 source tarballs, Windows binaries + and source patches from 4.2.0 and 4.2.1 available for download. +</p> <h2>Workaround</h2> -<p>If the PHP applications on an affected web server do not rely on HTTP - POST input from user agents, it is often possible to deny POST requests - on the web server.</p> - -<p>In the Apache web server, for example, this is possible with the - following code included in the main configuration file or a top-level - .htaccess file: - - <ul><code> - <Limit POST><br> - Order deny,allow<br> - Deny from all<br> - </Limit><br> - </code></ul> +<p> + If the PHP applications on an affected web server do not rely on HTTP + POST input from user agents, it is often possible to deny POST requests + on the web server. +</p> + +<p> + In the Apache web server, for example, this is possible with the + following code included in the main configuration file or a top-level + .htaccess file: +</p> + +<pre> +<Limit POST> + Order deny,allow + Deny from all +</Limit> +</pre> - Note that an existing configuration and/or .htaccess file may have - parameters contradicting the example given above.</p> - +<p> + Note that an existing configuration and/or .htaccess file may have + parameters contradicting the example given above. +</p> <h2>Credits</h2> -<p>The PHP Group would like to thank Stefan Esser of e-matters GmbH for - discovering this vulnerability. e-matters GmbH has also released an - <a href="http://security.e-matters.de/advisories/022002.html">independent advisory</a>, - describing the vulnerability in more detail.</p> +<p> + The PHP Group would like to thank Stefan Esser of e-matters GmbH for + discovering this vulnerability. e-matters GmbH has also released an + <a href="http://security.e-matters.de/advisories/022002.html">independent + advisory</a>, describing the vulnerability in more detail. +</p> -<?php commonFooter(); ?> +<?php site_footer(); ?> Index: phpweb/release_4_3_0_fr.php diff -u phpweb/release_4_3_0_fr.php:1.4 phpweb/release_4_3_0_fr.php:1.5 --- phpweb/release_4_3_0_fr.php:1.4 Sat Jun 14 15:00:59 2003 +++ phpweb/release_4_3_0_fr.php Thu Aug 14 09:10:36 2003 @@ -1,57 +1,134 @@ <?php -header("Cache-Control: public, max-age=600"); -require_once 'prepend.inc'; -header("Content-language: fr"); -commonHeader("Hypertext Preprocessor"); -echo "\n<!--$MYSITE-->\n"; +// $Id: release_4_3_0_fr.php,v 1.5 2003/08/14 13:10:36 goba Exp $ +$_SERVER['BASE_PAGE'] = 'release_4_3_0_fr.php'; +include_once $_SERVER['DOCUMENT_ROOT'] . '/include/prepend.inc'; +site_header("Annonce de publication de PHP 4.3.0"); ?> -<h1> -Annonce de publication de PHP 4.3.0 -</h1> + +<h1>Annonce de publication de PHP 4.3.0</h1> + +<p>[ <a href="/release_4_3_0.php">English version</a> ]</p> + <p> -[ <a href="/release_4_3_0.php">English version</a> ] + Après un long et difficile 8 mois de développement et de + test, PHP 4.3.0 est <a href="/downloads.php">publié</a>! Au vue + des évolutions, du temps consacré et des efforts + consentis, cette version est la plus importante version de la + série des PHP 4.x. Elle contribue largement a améliorer + les capacités de PHP en tant que langage + généraliste de scripts. </p> -<p>Après un long et difficile 8 mois de développement et de test, PHP 4.3.0 est <a href="/downloads.php">publié</a>! Au vue des évolutions, du temps consacré et des efforts consentis, cette version est la plus importante version de la série des PHP 4.x. Elle contribue largement a améliorer les capacités de PHP en tant que langage généraliste de scripts.</p> <h2>Utilisation en ligne de commande</h2> + <p> -PHP 4.3.0 achève la séparation du mode d'utilisation en ligne de commande (dit CLI) qui permet de développer des applications shell ou graphiques (avec <a href="http://gtk.php.net/">PHP-GTK</a>). La version CLI de PHP est toujours compilées, mais elle n'est installée que si la version CGI est désactivée avec l'option --disable-cgi. De plus, vous pouvez utilisez la commande <b>make install-cli</b>. Sous Windows, la version CLI est disponible dans le dossier <b>cli</b>.</p> + PHP 4.3.0 achève la séparation du mode d'utilisation en + ligne de commande (dit CLI) qui permet de développer des + applications shell ou graphiques (avec <a href="http://gtk.php.net/">PHP-GTK</a>). + La version CLI de PHP est toujours compilées, mais elle n'est + installée que si la version CGI est désactivée + avec l'option --disable-cgi. De plus, vous pouvez utilisez la commande + <strong>make install-cli</strong>. Sous Windows, la version CLI est + disponible dans le dossier <strong>cli</strong>. +</p> + <p> -CLI dispose de fonctionnalités différentes, par rappot à la version interfacée avec les serveurs web. Pour plus de détails, reportez vous à -<a href="http://dev.nexen.net/docs/php/annotee/features.commandline.php">Utiliser PHP en ligne de commande</a> + CLI dispose de fonctionnalités différentes, par rappot + à la version interfacée avec les serveurs web. Pour + plus de détails, reportez vous à + <a href="http://dev.nexen.net/docs/php/annotee/features.commandline.php">Utiliser + PHP en ligne de commande</a> </p> <h2>Flôts (Streams)</h2> + <p> -Une nouveauté très importante, mais cachée a été introduite : les flôts. Les flôts unifient la gestion des pipes, fichiers, sockets et autres ressources d'entrées/sorties du coeur de PHP et de ses extensions.</p> + Une nouveauté très importante, mais cachée a été + introduite : les flôts. Les flôts unifient la gestion des pipes, + fichiers, sockets et autres ressources d'entrées/sorties du coeur de + PHP et de ses extensions. +</p> <p> -Cela signifie, pour les utilisateurs, est que les fonctions d'entrées/sorties fonctionnent désormais avec les flôts (c'est à dire presque toutes), peuvent utiliser des protocoles internes tels que HTTP/HTTPS et FTP/FTPS, ainsi que des protocoles personnalisés, enregistrés comme tels depuis les scripts PHP. Pour plus d'informations, voyez : -<a href="http://dev.nexen.net/docs/php/annotee/wrappers.php#wrappers">Liste des protocoles supportés</a> + Cela signifie, pour les utilisateurs, est que les fonctions d'entrées/sorties + fonctionnent désormais avec les flôts (c'est à dire presque + toutes), peuvent utiliser des protocoles internes tels que HTTP/HTTPS et FTP/FTPS, + ainsi que des protocoles personnalisés, enregistrés comme tels depuis + les scripts PHP. Pour plus d'informations, voyez: + <a href="http://dev.nexen.net/docs/php/annotee/wrappers.php#wrappers">Liste des + protocoles supportés</a> </p> <h2>Nouveaus système de compilation</h2> + <p> -Cette version du système de compilation de PHP, entre autre choses, remplace la version récursive lente par un Makefile global, et facilite l'intégration des librairies connexes. Automake est uniquement nécessaire pour l'utilitaire aclocal. Le processus de compilation est rendu plus portable, et moins consommateur de ressources. + Cette version du système de compilation de PHP, entre autre choses, remplace + la version récursive lente par un Makefile global, et facilite + l'intégration des librairies connexes. Automake est uniquement + nécessaire pour l'utilitaire aclocal. Le processus de compilation est rendu + plus portable, et moins consommateur de ressources. </p> + <h2>Améliorations</h2> + <p>PHP 4.3.0 propose de nombreuses améliorations et évolutions :</p> + <ul> - <li><b>La librairie GD est désormais distribué avec PHP, et il est recommandé d'utiliser cette version</b></li> - <li>Les extensions vpopmail et cybermut ont été déplacées vers PECL</li> - <li>Plusieurs extensions obsolètes ont été supprimées (aspell, ccvs, cybercash, icap) -et (fastcgi, fhttpd)</li> - <li>Accélération des fonctions de traitement des channes de caractères</li> - <li>Amélioration des filtres Apache2 mais le support d'Apache 2 est toujours considéré comme expérimental (utilisez PHP avec le mode prefork et non le mode worker (thread), car de nombreuses extensions basées sur des librairies externes ne sont pas encore compatibles avec les threads)</li> - <li>Plusieurs corrections de sécurité (imap, mysql, mcrypt, téléchargement de fichiers, gd, etc...)</li> - <li>Nouvelle interface SAPI pour inclure PHP dans d'autres applications (expérimental)</li> - <li>suite de test nettement améliorée et complétée</li> - <li>améliorations du support de dba, gd, pcntl, sybase et xslt</li> - <li>debug_backtrace() aide nettement pour le débogage</li> - <li>les messages d'erreur contiennent des URL faisant référence aux pages du manuel décrivant ces erreurs, ou bien aux fonctions utilisées</li> - <li>Le Zend Engine a regu des corrections et des améliorations de performances mineures</li> - <li>et des <b>tonnes</b> de corrections, améliorations et nouvelles fonctions, dors et déjà documentées et traduites, etc...</li> + <li> + <strong> + La librairie GD est désormais distribué avec PHP, et il est + recommandé d'utiliser cette version + </strong> + </li> + <li> + Les extensions vpopmail et cybermut ont été + déplacées vers PECL + </li> + <li> + Plusieurs extensions obsolètes ont été + supprimées (aspell, ccvs, cybercash, icap) et (fastcgi, + fhttpd) + </li> + <li> + Accélération des fonctions de traitement des + channes de caractères + </li> + <li> + Amélioration des filtres Apache2 mais le support d'Apache 2 est + toujours considéré comme expérimental (utilisez PHP + avec le mode prefork et non le mode worker (thread), car de nombreuses + extensions basées sur des librairies externes ne sont pas encore + compatibles avec les threads) + </li> + <li> + Plusieurs corrections de sécurité (imap, mysql, mcrypt, + téléchargement de fichiers, gd, etc...) + </li> + <li> + Nouvelle interface SAPI pour inclure PHP dans d'autres applications + (expérimental) + </li> + <li>suite de test nettement améliorée et complétée</li> + <li>améliorations du support de dba, gd, pcntl, sybase et xslt</li> + <li>debug_backtrace() aide nettement pour le débogage</li> + <li> + les messages d'erreur contiennent des URL faisant référence aux + pages du manuel décrivant ces erreurs, ou bien aux fonctions + utilisées + </li> + <li> + Le Zend Engine a regu des corrections et des améliorations de + performances mineures + </li> + <li> + et des <strong>tonnes</strong> de corrections, améliorations et + nouvelles fonctions, dors et déjà documentées et + traduites, etc... + </li> </ul> + <p> -Pour la liste complète des modifications de PHP 4.3.0, voyez le fichier d'<a href="/ChangeLog-4.php">historique</a>. + Pour la liste complète des modifications de PHP 4.3.0, voyez le fichier + d'<a href="/ChangeLog-4.php#4.3.0">historique</a>. </p> -<?php commonFooter(); ?> + +<?php site_footer(); ?> Index: phpweb/release_4_3_0.php diff -u phpweb/release_4_3_0.php:1.4 phpweb/release_4_3_0.php:1.5 --- phpweb/release_4_3_0.php:1.4 Sat Jun 14 15:00:59 2003 +++ phpweb/release_4_3_0.php Thu Aug 14 09:10:36 2003 @@ -1,93 +1,101 @@ <?php -/* if you're reading this, it isn't because you've found a security hole. - this is an open source website. read and learn! */ - -header("Cache-Control: public, max-age=600"); - -require_once 'prepend.inc'; - -commonHeader("Hypertext Preprocessor"); -echo "\n<!--$MYSITE-->\n"; +// $Id: release_4_3_0.php,v 1.5 2003/08/14 13:10:36 goba Exp $ +$_SERVER['BASE_PAGE'] = 'release_4_3_0.php'; +include_once $_SERVER['DOCUMENT_ROOT'] . '/include/prepend.inc'; +site_header("PHP 4.3.0 Release Announcement"); ?> -<h1> -PHP 4.3.0 Release Announcement -</h1> +<h1>PHP 4.3.0 Release Announcement</h1> + +<p>[ <a href="/release_4_3_0_fr.php">Version Française</a> ]</p> <p> -[ <a href="/release_4_3_0_fr.php">Version Française</a> ] + After a long and arduous 8 months of development and testing, PHP 4.3.0 is + <a href="/downloads.php">out</a>! With regard to scope, time, and effort, this + is the largest 4.x release of PHP, and it further elevates PHP's standing as a + serious contender in the general purpose scripting language arena. </p> -<p>After a long and arduous 8 months of development and testing, PHP 4.3.0 is -<a href="/downloads.php">out</a>! With regard to scope, time, and effort, this -is the largest 4.x release of PHP, and it further elevates PHP's standing as a -serious contender in the general purpose scripting language arena.</p> - <h2>Command line interface</h2> <p> -This version finalizes the separate command line interface (CLI) that can be -used for developing shell and desktop applications (with -<a href="http://gtk.php.net/">PHP-GTK</a>). The CLI is always built, but -installed automatically only if CGI version is disabled via --disable-cgi -switch during configuration. Alternatively, one can use <b>make install-cli</b> -target. On Windows CLI can be found in <b>cli</b> folder.</p> -<p> -CLI has a number of differences compared to other server APIs. More information -can be found in the PHP Manual: -<a href="/manual/en/features.commandline.php">Using PHP from the command line</a> + This version finalizes the separate command line interface (CLI) that can be + used for developing shell and desktop applications (with + <a href="http://gtk.php.net/">PHP-GTK</a>). The CLI is always built, but + installed automatically only if CGI version is disabled via --disable-cgi + switch during configuration. Alternatively, one can use <strong>make + install-cli</strong> target. On Windows CLI can be found in + <strong>cli</strong> folder. +</p> + +<p> + CLI has a number of differences compared to other server APIs. More information + can be found in the PHP Manual: + <a href="/manual/en/features.commandline.php">Using PHP from the command line</a> </p> <h2>Streams</h2> <p> -A very important "under the hood" feature is the streams API. It introduces a -unified approach to the handling of files, pipes, sockets, and other I/O -resources in the PHP core and extensions.</p> -<p> -What this means for users is that any I/O function that works with streams -(and that is almost all of them) can access built-in protocols, such as -HTTP/HTTPS and FTP/FTPS, as well as custom protocols registered from PHP -scripts. For more information please see: <a href="/manual/en/wrappers.php">List -of Supported Protocols/Wrappers</a> + A very important "under the hood" feature is the streams API. It introduces a + unified approach to the handling of files, pipes, sockets, and other I/O + resources in the PHP core and extensions. +</p> +<p> + What this means for users is that any I/O function that works with streams + (and that is almost all of them) can access built-in protocols, such as + HTTP/HTTPS and FTP/FTPS, as well as custom protocols registered from PHP + scripts. For more information please see: <a href="/manual/en/wrappers.php">List + of Supported Protocols/Wrappers</a> </p> <h2>New build system</h2> <p> -This iteration of the build system, among other things, replaces the slow -recursive make with one global Makefile and eases the integration of proper -dependencies. Automake is only needed for its aclocal tool. The build process is -now more portable and less resource-consuming. + This iteration of the build system, among other things, replaces the slow + recursive make with one global Makefile and eases the integration of proper + dependencies. Automake is only needed for its aclocal tool. The build process is + now more portable and less resource-consuming. </p> <h2>Improvements</h2> + <p>PHP 4.3.0 has many improvements and enhancements:</p> + <ul> - <li><b>GD library is now bundled with the distribution and it is recommended - to always use the bundled version</b></li> - <li>vpopmail and cybermut extensions are moved to PECL</li> - <li>several deprecated extensions (aspell, ccvs, cybercash, icap) - and SAPIs (fastcgi, fhttpd) are removed</li> - <li>speed improvements in a variety of string functions</li> - <li>Apache2 filter is improved, but is still - considered experimental (use with PHP in prefork and not worker (thread) - model since many extensions based on external libraries are not thread - safe)</li> - <li>various security fixes (imap, mysql, mcrypt, file upload, gd, etc)</li> - <li>new SAPI for embedding PHP in other applications (experimental)</li> - <li>much better test suite</li> - <li>significant improvements in dba, gd, pcntl, sybase, and xslt extensions</li> - <li>debug_backtrace() should help with debugging</li> - <li>error messages now contain URLs linking to pages describing the error or - function in question</li> - <li>Zend Engine has some fixes and minor performance enhancements</li> - <li>and <b>TONS</b> of other fixes, updates, new functions, etc</li> + <li> + <strong> + GD library is now bundled with the distribution and it is recommended + to always use the bundled version + </strong> + </li> + <li>vpopmail and cybermut extensions are moved to PECL</li> + <li> + several deprecated extensions (aspell, ccvs, cybercash, icap) + and SAPIs (fastcgi, fhttpd) are removed + </li> + <li>speed improvements in a variety of string functions</li> + <li> + Apache2 filter is improved, but is still considered experimental + (use with PHP in prefork and not worker (thread) model since many + extensions based on external libraries are not thread safe) + </li> + <li>various security fixes (imap, mysql, mcrypt, file upload, gd, etc)</li> + <li>new SAPI for embedding PHP in other applications (experimental)</li> + <li>much better test suite</li> + <li>significant improvements in dba, gd, pcntl, sybase, and xslt extensions</li> + <li>debug_backtrace() should help with debugging</li> + <li> + error messages now contain URLs linking to pages describing the error or + function in question + </li> + <li>Zend Engine has some fixes and minor performance enhancements</li> + <li>and <strong>TONS</strong> of other fixes, updates, new functions, etc</li> </ul> <p> -For the full list of changes in PHP 4.3.0, see the -<a href="/ChangeLog-4.php">ChangeLog</a> file. + For the full list of changes in PHP 4.3.0, see the + <a href="/ChangeLog-4.php#4.3.0">ChangeLog</a> file. </p> -<?php commonFooter(); ?> +<?php site_footer(); ?> Index: phpweb/release_4_3_1.php diff -u phpweb/release_4_3_1.php:1.3 phpweb/release_4_3_1.php:1.4 --- phpweb/release_4_3_1.php:1.3 Sat Jun 14 15:00:59 2003 +++ phpweb/release_4_3_1.php Thu Aug 14 09:10:36 2003 @@ -1,70 +1,66 @@ <?php -/* if you're reading this, it isn't because you've found a security hole. - this is an open source website. read and learn! */ - -header("Cache-Control: public, max-age=600"); - -require_once 'prepend.inc'; - -commonHeader("Hypertext Preprocessor"); -echo "\n<!--$MYSITE-->\n"; +// $Id: release_4_3_1.php,v 1.4 2003/08/14 13:10:36 goba Exp $ +$_SERVER['BASE_PAGE'] = 'release_4_3_1.php'; +include_once $_SERVER['DOCUMENT_ROOT'] . '/include/prepend.inc'; +site_header("PHP 4.3.1 Release Announcement"); ?> <h1> PHP Security Advisory: CGI vulnerability in PHP version 4.3.0 </h1> -<table border="0" cellpadding="0" cellspacing="0"> -<tr><td>Issued on:</td><td> </td><td><b>February 17, 2003</b></td></tr> -<tr><td>Software:</td><td> </td><td><b>PHP version 4.3.0</b></td></tr> -<tr><td>Platforms:</td><td> </td><td><b>All</b></td></tr> -</table> +<dl> + <dt>Issued on:</dt> + <dd>February 17, 2003</dd> + <dt>Software:</dt> + <dd>PHP version 4.3.0</dd> + <dt>Platforms:</dt> + <dd>All</dd> +</dl> <p> - The PHP Group has learned of a serious security vulnerability in - the CGI SAPI of PHP version 4.3.0. + The PHP Group has learned of a serious security vulnerability in + the CGI SAPI of PHP version 4.3.0. </p> - <h2>Description</h2> <p> - PHP contains code for preventing direct access to the CGI binary with - configure option "--enable-force-cgi-redirect" and php.ini option - "cgi.force_redirect". In PHP 4.3.0 there is a bug which renders these - options useless. + PHP contains code for preventing direct access to the CGI binary with + configure option "--enable-force-cgi-redirect" and php.ini option + "cgi.force_redirect". In PHP 4.3.0 there is a bug which renders these + options useless. </p> <p> - NOTE: This bug does NOT affect any of the other SAPI modules. - (such as the Apache or ISAPI modules, etc.) + NOTE: This bug does NOT affect any of the other SAPI modules. + (such as the Apache or ISAPI modules, etc.) </p> <h2>Impact</h2> <p> - Anyone with access to websites hosted on a web server which employs - the CGI module may exploit this vulnerability to gain access to any file - readable by the user under which the webserver runs. + Anyone with access to websites hosted on a web server which employs + the CGI module may exploit this vulnerability to gain access to any file + readable by the user under which the webserver runs. </p> <p> - A remote attacker could also trick PHP into executing arbitrary PHP code - if attacker is able to inject the code into files accessible by the CGI. - This could be for example the web server access-logs. + A remote attacker could also trick PHP into executing arbitrary PHP code + if attacker is able to inject the code into files accessible by the CGI. + This could be for example the web server access-logs. </p> <h2>Solution</h2> <p> - The PHP Group has released a new PHP version, 4.3.1, which incorporates - a fix for the vulnerability. All users of affected PHP versions are - encouraged to upgrade to this latest version. The downloads web site at - <a href="http://www.php.net/downloads.php">http://www.php.net/downloads.php</a> - has the new 4.3.1 source tarballs, Windows binaries and source patch - from 4.3.0 available for download. You will only need to upgrade if - you're using the CGI module of PHP 4.3.0. There are no other bugfixes - contained in this release. + The PHP Group has released a new PHP version, 4.3.1, which incorporates + a fix for the vulnerability. All users of affected PHP versions are + encouraged to upgrade to this latest version. <a href="/downloads.php">The + downloads page</a> has the new 4.3.1 source tarballs, Windows binaries + and source patch from 4.3.0 available for download. You will only need + to upgrade if you're using the CGI module of PHP 4.3.0. There are no + other bugfixes contained in this release. </p> <h2>Workarounds</h2> @@ -74,8 +70,8 @@ <h2>Credits</h2> <p> - The PHP Group would like to thank Kosmas Skiadopoulos for discovering - this vulnerability. + The PHP Group would like to thank Kosmas Skiadopoulos for discovering + this vulnerability. </p> -<?php commonFooter(); ?> +<?php site_footer(); ?> Index: phpweb/release_4_3_2_fr.php diff -u phpweb/release_4_3_2_fr.php:1.5 phpweb/release_4_3_2_fr.php:1.6 --- phpweb/release_4_3_2_fr.php:1.5 Sat Jun 14 15:00:59 2003 +++ phpweb/release_4_3_2_fr.php Thu Aug 14 09:10:36 2003 @@ -1,28 +1,19 @@ <?php -/* if you're reading this, it isn't because you've found a security hole. - this is an open source website. read and learn! */ - -header("Cache-Control: public, max-age=600"); - -require_once 'prepend.inc'; - -commonHeader("Annonce de publication de PHP 4.3.2"); -echo "\n<!--$MYSITE-->\n"; +// $Id: release_4_3_2_fr.php,v 1.6 2003/08/14 13:10:36 goba Exp $ +$_SERVER['BASE_PAGE'] = 'release_4_3_2_fr.php'; +include_once $_SERVER['DOCUMENT_ROOT'] . '/include/prepend.inc'; +site_header("Annonce de publication de PHP 4.3.2"); ?> -<h1> -Annonce de publication de PHP 4.3.2 -</h1> +<h1>Annonce de publication de PHP 4.3.2</h1> -<p> -[ <a href="/release_4_3_2.php">English version</a> ] -</p> +<p>[ <a href="/release_4_3_2.php">English version</a> ]</p> <p> - Après une longue étape de tests d'assurance Qualité, <a href="/downloads.php">PHP 4.3.2</a> - est finalement disponible!<br /> + Après une longue étape de tests d'assurance Qualité, + <a href="/downloads.php">PHP 4.3.2</a> est finalement disponible!<br /> Cette version de maintenance résoud un grand nombre de bugs trouvés dans - des versions plus anciennes de PHP, et il est <b>recommandé</b> + des versions plus anciennes de PHP, et il est <strong>recommandé</strong> de faire la mise à jour pour tous les utilisateurs PHP. </p> @@ -31,20 +22,35 @@ <p> PHP 4.3.2 contient notamment les corrections, ajouts et améliorations suivantes : </p> - <ul> - <li>Correction de plusieurs problèmes dangereux de dépassement de capacité avec les entiers.</li> - <li>Correction de plusieurs problèmes liés aux plate-formes 64-bits.</li> - <li>Nouveau module SAPI Apache 2.0 (sapi/apache2handler, activé avec l'option --with-apxs2).</li> - <li>Nouvelle fonction session_regenerate_id(). (Fonctionnalité importante pour contrer les usurpations de sessions).</li> - <li>Améliorations de l'extension dba.</li> - <li>Amélioration du module thttpd SAPI.</li> - <li>Abandon de GDLIB version 1.x.x (php_gd.dll) sous Windows.</li> - <li>Le manuel man sous Unix pour la version CLI de PHP.</li> - <li>Nouvelle option "disable_classes" pour permettre aux administrateurs de désactiver certaines classes pour des raisons de sécurité.</li> - </ul> + +<ul> + <li> + Correction de plusieurs problèmes dangereux de dépassement de + capacité avec les entiers. + </li> + <li>Correction de plusieurs problèmes liés aux plate-formes 64-bits.</li> + <li> + Nouveau module SAPI Apache 2.0 (sapi/apache2handler, activé + avec l'option --with-apxs2). + </li> + <li> + Nouvelle fonction session_regenerate_id(). (Fonctionnalité + importante pour contrer les usurpations de sessions). + </li> + <li>Améliorations de l'extension dba.</li> + <li>Amélioration du module thttpd SAPI.</li> + <li>Abandon de GDLIB version 1.x.x (php_gd.dll) sous Windows.</li> + <li>Le manuel man sous Unix pour la version CLI de PHP.</li> + <li> + Nouvelle option "disable_classes" pour permettre aux administrateurs + de désactiver certaines classes pour des raisons de + sécurité. + </li> +</ul> + <p> Pour une liste complète des modifications de PHP 4.3.2, reportez-vous au fichier - <a href="/ChangeLog-4.php">NEWS</a>. + <a href="/ChangeLog-4.php#4.3.2">ChangeLog</a>. </p> -<?php commonFooter(); ?> +<?php site_footer(); ?> Index: phpweb/release_4_3_2.php diff -u phpweb/release_4_3_2.php:1.9 phpweb/release_4_3_2.php:1.10 --- phpweb/release_4_3_2.php:1.9 Sat Jun 14 15:00:59 2003 +++ phpweb/release_4_3_2.php Thu Aug 14 09:10:36 2003 @@ -1,25 +1,18 @@ <?php -/* if you're reading this, it isn't because you've found a security hole. - this is an open source website. read and learn! */ - -header("Cache-Control: public, max-age=600"); - -require_once 'prepend.inc'; - -commonHeader("PHP 4.3.2 Release Announcement"); -echo "\n<!--$MYSITE-->\n"; +// $Id: release_4_3_2.php,v 1.10 2003/08/14 13:10:36 goba Exp $ +$_SERVER['BASE_PAGE'] = 'release_4_3_2.php'; +include_once $_SERVER['DOCUMENT_ROOT'] . '/include/prepend.inc'; +site_header("PHP 4.3.2 Release Announcement"); ?> -<h1> -PHP 4.3.2 Release Announcement -</h1> +<h1>PHP 4.3.2 Release Announcement</h1> -<p>[ <a href="/release_4_3_2_fr.php">Version Française</a> ] </p> +<p>[ <a href="/release_4_3_2_fr.php">Version Française</a> ]</p> <p> After a lengthy QA process, <a href="/downloads.php">PHP 4.3.2</a> is finally out!<br /> This maintenance release solves a lot of bugs found in earlier PHP versions - and is a <b>strongly</b> recommended upgrade for all users of PHP. + and is a <strong>strongly</strong> recommended upgrade for all users of PHP. </p> <h2>Bugfix release</h2> @@ -27,20 +20,32 @@ <p> PHP 4.3.2 contains, among others, following important fixes, additions and improvements: </p> - <ul> - <li>Fixes several potentially hazardous integer and buffer overflows.</li> - <li>Fixes for several 64-bit problems.</li> - <li>New Apache 2.0 SAPI module (sapi/apache2handler, enabled with --with-apxs2).</li> - <li>New session_regenerate_id() function. (Important feature against malicious session planting).</li> - <li>Improvements to dba extension.</li> - <li>Improvements to thttpd SAPI module.</li> - <li>Dropped support for GDLIB version 1.x.x (php_gd.dll) on Windows.</li> - <li>An unix man page for CLI version of PHP.</li> - <li>New "disable_classes" php.ini option to allow administrators to disable certain classes for security reasons.</li> - <li>..and a <b>HUGE</b> amount of other bug fixes!</li> - </ul> + +<ul> + <li>Fixes several potentially hazardous integer and buffer overflows.</li> + <li>Fixes for several 64-bit problems.</li> + <li> + New Apache 2.0 SAPI module (sapi/apache2handler, + enabled with --with-apxs2). + </li> + <li> + New session_regenerate_id() function. (Important feature + against malicious session planting). + </li> + <li>Improvements to dba extension.</li> + <li>Improvements to thttpd SAPI module.</li> + <li>Dropped support for GDLIB version 1.x.x (php_gd.dll) on Windows.</li> + <li>An unix man page for CLI version of PHP.</li> + <li> + New "disable_classes" php.ini option to allow administrators to + disable certain classes for security reasons. + </li> + <li>..and a <strong>HUGE</strong> amount of other bug fixes!</li> +</ul> + <p> - For a full list of changes in PHP 4.3.2, see the <a href="/ChangeLog-4.php">NEWS</a> file. + For a full list of changes in PHP 4.3.2, see the + <a href="/ChangeLog-4.php#4.3.2">ChangeLog</a>. </p> -<?php commonFooter(); ?> +<?php site_footer(); ?>
Index: phpweb/release_4_2_2_fr.php diff -u phpweb/release_4_2_2_fr.php:1.3 phpweb/release_4_2_2_fr.php:1.4 --- phpweb/release_4_2_2_fr.php:1.3 Sun Mar 2 11:56:37 2003 +++ phpweb/release_4_2_2_fr.php Thu Aug 14 09:10:36 2003 @@ -1,92 +1,104 @@ <?php -header("Cache-Control: public, max-age=600"); -require_once 'prepend.inc'; -header("Content-language: fr"); -commonHeader("Hypertext Preprocessor"); -echo "\n<!--$MYSITE-->\n"; +// $Id: release_4_2_2_fr.php,v 1.4 2003/08/14 13:10:36 goba Exp $ +$_SERVER['BASE_PAGE'] = 'release_4_2_2_fr.php'; +include_once $_SERVER['DOCUMENT_ROOT'] . '/include/prepend.inc'; +site_header("Annonce de publication de PHP 4.2.2"); ?> <h1> PHP Security Advisory: Vulnerability in PHP versions 4.2.0 and 4.2.1 </h1> -<p>[ <a href="/release_4_2_2.php">English Version</a> ] </p> +<p>[ <a href="/release_4_2_2.php">English Version</a> ]</p> -<p><table border="0" cellpadding="0" cellspacing="0"> -<tr><td>Date :</td><td> </td><td><b> 22 Juillet 2002</b></td></tr> -<tr><td>Logiciel :</td><td> </td><td><b>PHP versions 4.2.0 et 4.2.1</b></td></tr> -<tr><td>Plates-formes :</td><td> </td><td><b>Toutes</b></td></tr> -</table></p> - -<p>Le PHP Group a pris connaissance d'un trou de sécurité sérieux en PHP - version 4.2.0 et 4.2.1. Un intrus pourrait exécuter un code arbitraire sur - le serveur, avec les mêmes privilèges que celui qui exécute le serveur web. - Cette vulnérabilité peut être exploitée pour compromettre le serveur web, - et dans certaines circonstances, obtenir des droits spéciaux. +<dl> + <dt>Date:</dt> + <dd>22 Juillet 2002</dd> + <dt>Logiciel:</dt> + <dd>PHP versions 4.2.0 et 4.2.1</dd> + <dt>Plates-formes:</dt> + <dd>Toutes</dd> +</dl> + +<p> + Le PHP Group a pris connaissance d'un trou de sécurité sérieux en PHP + version 4.2.0 et 4.2.1. Un intrus pourrait exécuter un code arbitraire sur + le serveur, avec les mêmes privilèges que celui qui exécute le serveur web. + Cette vulnérabilité peut être exploitée pour compromettre le serveur web, + et dans certaines circonstances, obtenir des droits spéciaux. </p> - <h2>Description</h2> -<p> PHP contient du code qui analyse finement les entêtes des requêtes - HTTP POST. Le code est utilisé pour différencier les variables des - fichiers qui sont envoyés par le navigateur, avec l'encodage - "multipart/form-data". Cet analyseur ne vérifie pas suffisamment - les données d'entrée, ce qui conduit à une vulnérabilité.</p> +<p> + PHP contient du code qui analyse finement les entêtes des requêtes + HTTP POST. Le code est utilisé pour différencier les variables des + fichiers qui sont envoyés par le navigateur, avec l'encodage + "multipart/form-data". Cet analyseur ne vérifie pas suffisamment + les données d'entrée, ce qui conduit à une + vulnérabilité. +</p> -<p> La vulnérabilité est exploitable par quiconque peut envoyer des requêtes - HTTP POST à un serveur web utilisant PHP versions 4.2.0 et 4.2.1. Des - utilisateurs, locaux ou distants, même derrière un pare-feu, pourraient - obtenir des autorisations indues sur la machine.</p> - +<p> + La vulnérabilité est exploitable par quiconque peut envoyer des requêtes + HTTP POST à un serveur web utilisant PHP versions 4.2.0 et 4.2.1. Des + utilisateurs, locaux ou distants, même derrière un pare-feu, pourraient + obtenir des autorisations indues sur la machine. +</p> <h2>Impact</h2> -<p> Les utilisateurs, tant locaux que distants, peuvent exploiter cette - vulnérabilité pour compromettre le serveur web, et, dans certaines circonstances, - obtenir des autorisations indues. Jusqu'à présent, seule la plate-forme - IA32 a pu passer les tests de sécurité. Cette vulnérabilité peut être utilisée - sous IA32 pour crasher PHP et, dans la plupart des cas, le serveur web.</p> - +<p> + Les utilisateurs, tant locaux que distants, peuvent exploiter cette + vulnérabilité pour compromettre le serveur web, et, dans certaines circonstances, + obtenir des autorisations indues. Jusqu'à présent, seule la plate-forme + IA32 a pu passer les tests de sécurité. Cette vulnérabilité peut être utilisée + sous IA32 pour crasher PHP et, dans la plupart des cas, le serveur web. +</p> <h2>Solution</h2> -<p> Le PHP Group a publié une nouvelle version PHP version, 4.2.2, qui inclus - une correction pour cette vulnérabilité. Tous les utilisateurs des versions de PHP - affectées sont encouragés à passer à cette nouvelle version. L'URL de - téléchargement est : - <ul><a href="http://www.php.net/downloads.php">http://www.php.net/downloads.php</a></ul> - - sous forme de sources (tarballs), exécutable Windows et source patches - pour les versions 4.2.0 et 4.2.1.</p> - - +<p> + Le PHP Group a publié une nouvelle version PHP version, 4.2.2, qui inclus + une correction pour cette vulnérabilité. Tous les utilisateurs des versions de PHP + affectées sont encouragés à passer à cette nouvelle version. L'URL de + téléchargement est : + <a href="http://www.php.net/downloads.php">http://www.php.net/downloads.php</a> + sous forme de sources (tarballs), exécutable Windows et source patches + pour les versions 4.2.0 et 4.2.1. +</p> <h2>Autre solution</h2> -<p> Si les applications PHP n'utilisent pas la méthode POST sur un serveur - affecté, il est possible de simplement interdire les requêtes POST sur le - serveur. +<p> + Si les applications PHP n'utilisent pas la méthode POST sur un serveur + affecté, il est possible de simplement interdire les requêtes POST sur le + serveur. </p> -<p>Sous Apache, par exemple, il est possible d'utiliser le code suivant - dans le fichier de configuration principal, ou avec un fichier .htaccess - placé suffisamment près de la racine : - - <ul><code> - <Limit POST><br> - Order deny,allow<br> - Deny from all<br> - </Limit><br> - </code></ul> +<p> + Sous Apache, par exemple, il est possible d'utiliser le code suivant + dans le fichier de configuration principal, ou avec un fichier .htaccess + placé suffisamment près de la racine : +</p> + +<pre> +<Limit POST> + Order deny,allow + Deny from all +</Limit> +</pre> - Notez qu'une autre configuration ou/et un autre fichier .htaccess avec - certains paramètres, peuvent annuler l'effet de l'exemple ci-dessus.</p> - +<p> + Notez qu'une autre configuration ou/et un autre fichier .htaccess avec + certains paramètres, peuvent annuler l'effet de l'exemple ci-dessus. +</p> <h2>Crédits</h2> -<p> Le PHP Group remercie Stefan Esser de e-matters GmbH pour la découverte - de cette vulnérabilité.</p> +<p> + Le PHP Group remercie Stefan Esser de e-matters GmbH pour la découverte + de cette vulnérabilité. +</p> -<?php commonFooter(); ?> +<?php site_footer(); ?> Index: phpweb/release_4_2_2.php diff -u phpweb/release_4_2_2.php:1.3 phpweb/release_4_2_2.php:1.4 --- phpweb/release_4_2_2.php:1.3 Mon Jul 22 09:10:32 2002 +++ phpweb/release_4_2_2.php Thu Aug 14 09:10:36 2003 @@ -1,94 +1,101 @@ <?php -/* if you're reading this, it isn't because you've found a security hole. - this is an open source website. read and learn! */ - -header("Cache-Control: public, max-age=600"); - -require_once 'prepend.inc'; - -commonHeader("Hypertext Preprocessor"); -echo "\n<!--$MYSITE-->\n"; +// $Id: release_4_2_2.php,v 1.4 2003/08/14 13:10:36 goba Exp $ +$_SERVER['BASE_PAGE'] = 'release_4_2_2.php'; +include_once $_SERVER['DOCUMENT_ROOT'] . '/include/prepend.inc'; +site_header("PHP 4.2.2 Release Announcement"); ?> <h1> -PHP Security Advisory: Vulnerability in PHP versions 4.2.0 and 4.2.1 + PHP Security Advisory: Vulnerability in PHP versions 4.2.0 and 4.2.1 </h1> -<p>[ <a href="/release_4_2_2_fr.php">Version Française</a> ] </p> - -<p><table border="0" cellpadding="0" cellspacing="0"> -<tr><td>Issued on:</td><td> </td><td><b>July 22, 2002</b></td></tr> -<tr><td>Software:</td><td> </td><td><b>PHP versions 4.2.0 and 4.2.1</b></td></tr> -<tr><td>Platforms:</td><td> </td><td><b>All</b></td></tr> -</table></p> - -<p>The PHP Group has learned of a serious security vulnerability in PHP - versions 4.2.0 and 4.2.1. An intruder may be able to execute arbitrary - code with the privileges of the web server. This vulnerability may be - exploited to compromise the web server and, under certain conditions, - to gain privileged access.</p> +<p>[ <a href="/release_4_2_2_fr.php">Version Française</a> ]</p> +<dl> + <dt>Issued on:</dt> + <dd>July 22, 2002</dd> + <dt>Software:</dt> + <dd>PHP versions 4.2.0 and 4.2.1</dd> + <dt>Platforms:</dt> + <dd>All</dd> +</dl> + +<p> + The PHP Group has learned of a serious security vulnerability in PHP + versions 4.2.0 and 4.2.1. An intruder may be able to execute arbitrary + code with the privileges of the web server. This vulnerability may be + exploited to compromise the web server and, under certain conditions, + to gain privileged access. +</p> <h2>Description</h2> -<p>PHP contains code for intelligently parsing the headers of HTTP POST - requests. The code is used to differentiate between variables and files - sent by the user agent in a "multipart/form-data" request. This parser - has insufficient input checking, leading to the vulnerability.</p> - -<p>The vulnerability is exploitable by anyone who can send HTTP POST - requests to an affected web server. Both local and remote users, even - from behind firewalls, may be able to gain privileged access.</p> - +<p> + PHP contains code for intelligently parsing the headers of HTTP POST + requests. The code is used to differentiate between variables and files + sent by the user agent in a "multipart/form-data" request. This parser + has insufficient input checking, leading to the vulnerability. +</p> + +<p> + The vulnerability is exploitable by anyone who can send HTTP POST + requests to an affected web server. Both local and remote users, even + from behind firewalls, may be able to gain privileged access. +</p> <h2>Impact</h2> -<p>Both local and remote users may exploit this vulnerability to compromise - the web server and, under certain conditions, to gain privileged access. - So far only the IA32 platform has been verified to be safe from the - execution of arbitrary code. The vulnerability can still be used on IA32 - to crash PHP and, in most cases, the web server.</p> - +<p> + Both local and remote users may exploit this vulnerability to compromise + the web server and, under certain conditions, to gain privileged access. + So far only the IA32 platform has been verified to be safe from the + execution of arbitrary code. The vulnerability can still be used on IA32 + to crash PHP and, in most cases, the web server. +</p> <h2>Solution</h2> -<p>The PHP Group has released a new PHP version, 4.2.2, which incorporates - a fix for the vulnerability. All users of affected PHP versions are - encouraged to upgrade to this latest version. The downloads web site at - - <ul><a href="http://www.php.net/downloads.php">http://www.php.net/downloads.php</a></ul> - - has the new 4.2.2 source tarballs, Windows binaries and source patches - from 4.2.0 and 4.2.1 available for download.</p> - - +<p> + The PHP Group has released a new PHP version, 4.2.2, which incorporates + a fix for the vulnerability. All users of affected PHP versions are + encouraged to upgrade to this latest version. <a href="/downloads.php">The + downloads page</a> has the new 4.2.2 source tarballs, Windows binaries + and source patches from 4.2.0 and 4.2.1 available for download. +</p> <h2>Workaround</h2> -<p>If the PHP applications on an affected web server do not rely on HTTP - POST input from user agents, it is often possible to deny POST requests - on the web server.</p> - -<p>In the Apache web server, for example, this is possible with the - following code included in the main configuration file or a top-level - .htaccess file: - - <ul><code> - <Limit POST><br> - Order deny,allow<br> - Deny from all<br> - </Limit><br> - </code></ul> +<p> + If the PHP applications on an affected web server do not rely on HTTP + POST input from user agents, it is often possible to deny POST requests + on the web server. +</p> + +<p> + In the Apache web server, for example, this is possible with the + following code included in the main configuration file or a top-level + .htaccess file: +</p> + +<pre> +<Limit POST> + Order deny,allow + Deny from all +</Limit> +</pre> - Note that an existing configuration and/or .htaccess file may have - parameters contradicting the example given above.</p> - +<p> + Note that an existing configuration and/or .htaccess file may have + parameters contradicting the example given above. +</p> <h2>Credits</h2> -<p>The PHP Group would like to thank Stefan Esser of e-matters GmbH for - discovering this vulnerability. e-matters GmbH has also released an - <a href="http://security.e-matters.de/advisories/022002.html">independent advisory</a>, - describing the vulnerability in more detail.</p> +<p> + The PHP Group would like to thank Stefan Esser of e-matters GmbH for + discovering this vulnerability. e-matters GmbH has also released an + <a href="http://security.e-matters.de/advisories/022002.html">independent + advisory</a>, describing the vulnerability in more detail. +</p> -<?php commonFooter(); ?> +<?php site_footer(); ?> Index: phpweb/release_4_3_0_fr.php diff -u phpweb/release_4_3_0_fr.php:1.4 phpweb/release_4_3_0_fr.php:1.5 --- phpweb/release_4_3_0_fr.php:1.4 Sat Jun 14 15:00:59 2003 +++ phpweb/release_4_3_0_fr.php Thu Aug 14 09:10:36 2003 @@ -1,57 +1,134 @@ <?php -header("Cache-Control: public, max-age=600"); -require_once 'prepend.inc'; -header("Content-language: fr"); -commonHeader("Hypertext Preprocessor"); -echo "\n<!--$MYSITE-->\n"; +// $Id: release_4_3_0_fr.php,v 1.5 2003/08/14 13:10:36 goba Exp $ +$_SERVER['BASE_PAGE'] = 'release_4_3_0_fr.php'; +include_once $_SERVER['DOCUMENT_ROOT'] . '/include/prepend.inc'; +site_header("Annonce de publication de PHP 4.3.0"); ?> -<h1> -Annonce de publication de PHP 4.3.0 -</h1> + +<h1>Annonce de publication de PHP 4.3.0</h1> + +<p>[ <a href="/release_4_3_0.php">English version</a> ]</p> + <p> -[ <a href="/release_4_3_0.php">English version</a> ] + Après un long et difficile 8 mois de développement et de + test, PHP 4.3.0 est <a href="/downloads.php">publié</a>! Au vue + des évolutions, du temps consacré et des efforts + consentis, cette version est la plus importante version de la + série des PHP 4.x. Elle contribue largement a améliorer + les capacités de PHP en tant que langage + généraliste de scripts. </p> -<p>Après un long et difficile 8 mois de développement et de test, PHP 4.3.0 est <a href="/downloads.php">publié</a>! Au vue des évolutions, du temps consacré et des efforts consentis, cette version est la plus importante version de la série des PHP 4.x. Elle contribue largement a améliorer les capacités de PHP en tant que langage généraliste de scripts.</p> <h2>Utilisation en ligne de commande</h2> + <p> -PHP 4.3.0 achève la séparation du mode d'utilisation en ligne de commande (dit CLI) qui permet de développer des applications shell ou graphiques (avec <a href="http://gtk.php.net/">PHP-GTK</a>). La version CLI de PHP est toujours compilées, mais elle n'est installée que si la version CGI est désactivée avec l'option --disable-cgi. De plus, vous pouvez utilisez la commande <b>make install-cli</b>. Sous Windows, la version CLI est disponible dans le dossier <b>cli</b>.</p> + PHP 4.3.0 achève la séparation du mode d'utilisation en + ligne de commande (dit CLI) qui permet de développer des + applications shell ou graphiques (avec <a href="http://gtk.php.net/">PHP-GTK</a>). + La version CLI de PHP est toujours compilées, mais elle n'est + installée que si la version CGI est désactivée + avec l'option --disable-cgi. De plus, vous pouvez utilisez la commande + <strong>make install-cli</strong>. Sous Windows, la version CLI est + disponible dans le dossier <strong>cli</strong>. +</p> + <p> -CLI dispose de fonctionnalités différentes, par rappot à la version interfacée avec les serveurs web. Pour plus de détails, reportez vous à -<a href="http://dev.nexen.net/docs/php/annotee/features.commandline.php">Utiliser PHP en ligne de commande</a> + CLI dispose de fonctionnalités différentes, par rappot + à la version interfacée avec les serveurs web. Pour + plus de détails, reportez vous à + <a href="http://dev.nexen.net/docs/php/annotee/features.commandline.php">Utiliser + PHP en ligne de commande</a> </p> <h2>Flôts (Streams)</h2> + <p> -Une nouveauté très importante, mais cachée a été introduite : les flôts. Les flôts unifient la gestion des pipes, fichiers, sockets et autres ressources d'entrées/sorties du coeur de PHP et de ses extensions.</p> + Une nouveauté très importante, mais cachée a été + introduite : les flôts. Les flôts unifient la gestion des pipes, + fichiers, sockets et autres ressources d'entrées/sorties du coeur de + PHP et de ses extensions. +</p> <p> -Cela signifie, pour les utilisateurs, est que les fonctions d'entrées/sorties fonctionnent désormais avec les flôts (c'est à dire presque toutes), peuvent utiliser des protocoles internes tels que HTTP/HTTPS et FTP/FTPS, ainsi que des protocoles personnalisés, enregistrés comme tels depuis les scripts PHP. Pour plus d'informations, voyez : -<a href="http://dev.nexen.net/docs/php/annotee/wrappers.php#wrappers">Liste des protocoles supportés</a> + Cela signifie, pour les utilisateurs, est que les fonctions d'entrées/sorties + fonctionnent désormais avec les flôts (c'est à dire presque + toutes), peuvent utiliser des protocoles internes tels que HTTP/HTTPS et FTP/FTPS, + ainsi que des protocoles personnalisés, enregistrés comme tels depuis + les scripts PHP. Pour plus d'informations, voyez: + <a href="http://dev.nexen.net/docs/php/annotee/wrappers.php#wrappers">Liste des + protocoles supportés</a> </p> <h2>Nouveaus système de compilation</h2> + <p> -Cette version du système de compilation de PHP, entre autre choses, remplace la version récursive lente par un Makefile global, et facilite l'intégration des librairies connexes. Automake est uniquement nécessaire pour l'utilitaire aclocal. Le processus de compilation est rendu plus portable, et moins consommateur de ressources. + Cette version du système de compilation de PHP, entre autre choses, remplace + la version récursive lente par un Makefile global, et facilite + l'intégration des librairies connexes. Automake est uniquement + nécessaire pour l'utilitaire aclocal. Le processus de compilation est rendu + plus portable, et moins consommateur de ressources. </p> + <h2>Améliorations</h2> + <p>PHP 4.3.0 propose de nombreuses améliorations et évolutions :</p> + <ul> - <li><b>La librairie GD est désormais distribué avec PHP, et il est recommandé d'utiliser cette version</b></li> - <li>Les extensions vpopmail et cybermut ont été déplacées vers PECL</li> - <li>Plusieurs extensions obsolètes ont été supprimées (aspell, ccvs, cybercash, icap) -et (fastcgi, fhttpd)</li> - <li>Accélération des fonctions de traitement des channes de caractères</li> - <li>Amélioration des filtres Apache2 mais le support d'Apache 2 est toujours considéré comme expérimental (utilisez PHP avec le mode prefork et non le mode worker (thread), car de nombreuses extensions basées sur des librairies externes ne sont pas encore compatibles avec les threads)</li> - <li>Plusieurs corrections de sécurité (imap, mysql, mcrypt, téléchargement de fichiers, gd, etc...)</li> - <li>Nouvelle interface SAPI pour inclure PHP dans d'autres applications (expérimental)</li> - <li>suite de test nettement améliorée et complétée</li> - <li>améliorations du support de dba, gd, pcntl, sybase et xslt</li> - <li>debug_backtrace() aide nettement pour le débogage</li> - <li>les messages d'erreur contiennent des URL faisant référence aux pages du manuel décrivant ces erreurs, ou bien aux fonctions utilisées</li> - <li>Le Zend Engine a regu des corrections et des améliorations de performances mineures</li> - <li>et des <b>tonnes</b> de corrections, améliorations et nouvelles fonctions, dors et déjà documentées et traduites, etc...</li> + <li> + <strong> + La librairie GD est désormais distribué avec PHP, et il est + recommandé d'utiliser cette version + </strong> + </li> + <li> + Les extensions vpopmail et cybermut ont été + déplacées vers PECL + </li> + <li> + Plusieurs extensions obsolètes ont été + supprimées (aspell, ccvs, cybercash, icap) et (fastcgi, + fhttpd) + </li> + <li> + Accélération des fonctions de traitement des + channes de caractères + </li> + <li> + Amélioration des filtres Apache2 mais le support d'Apache 2 est + toujours considéré comme expérimental (utilisez PHP + avec le mode prefork et non le mode worker (thread), car de nombreuses + extensions basées sur des librairies externes ne sont pas encore + compatibles avec les threads) + </li> + <li> + Plusieurs corrections de sécurité (imap, mysql, mcrypt, + téléchargement de fichiers, gd, etc...) + </li> + <li> + Nouvelle interface SAPI pour inclure PHP dans d'autres applications + (expérimental) + </li> + <li>suite de test nettement améliorée et complétée</li> + <li>améliorations du support de dba, gd, pcntl, sybase et xslt</li> + <li>debug_backtrace() aide nettement pour le débogage</li> + <li> + les messages d'erreur contiennent des URL faisant référence aux + pages du manuel décrivant ces erreurs, ou bien aux fonctions + utilisées + </li> + <li> + Le Zend Engine a regu des corrections et des améliorations de + performances mineures + </li> + <li> + et des <strong>tonnes</strong> de corrections, améliorations et + nouvelles fonctions, dors et déjà documentées et + traduites, etc... + </li> </ul> + <p> -Pour la liste complète des modifications de PHP 4.3.0, voyez le fichier d'<a href="/ChangeLog-4.php">historique</a>. + Pour la liste complète des modifications de PHP 4.3.0, voyez le fichier + d'<a href="/ChangeLog-4.php#4.3.0">historique</a>. </p> -<?php commonFooter(); ?> + +<?php site_footer(); ?> Index: phpweb/release_4_3_0.php diff -u phpweb/release_4_3_0.php:1.4 phpweb/release_4_3_0.php:1.5 --- phpweb/release_4_3_0.php:1.4 Sat Jun 14 15:00:59 2003 +++ phpweb/release_4_3_0.php Thu Aug 14 09:10:36 2003 @@ -1,93 +1,101 @@ <?php -/* if you're reading this, it isn't because you've found a security hole. - this is an open source website. read and learn! */ - -header("Cache-Control: public, max-age=600"); - -require_once 'prepend.inc'; - -commonHeader("Hypertext Preprocessor"); -echo "\n<!--$MYSITE-->\n"; +// $Id: release_4_3_0.php,v 1.5 2003/08/14 13:10:36 goba Exp $ +$_SERVER['BASE_PAGE'] = 'release_4_3_0.php'; +include_once $_SERVER['DOCUMENT_ROOT'] . '/include/prepend.inc'; +site_header("PHP 4.3.0 Release Announcement"); ?> -<h1> -PHP 4.3.0 Release Announcement -</h1> +<h1>PHP 4.3.0 Release Announcement</h1> + +<p>[ <a href="/release_4_3_0_fr.php">Version Française</a> ]</p> <p> -[ <a href="/release_4_3_0_fr.php">Version Française</a> ] + After a long and arduous 8 months of development and testing, PHP 4.3.0 is + <a href="/downloads.php">out</a>! With regard to scope, time, and effort, this + is the largest 4.x release of PHP, and it further elevates PHP's standing as a + serious contender in the general purpose scripting language arena. </p> -<p>After a long and arduous 8 months of development and testing, PHP 4.3.0 is -<a href="/downloads.php">out</a>! With regard to scope, time, and effort, this -is the largest 4.x release of PHP, and it further elevates PHP's standing as a -serious contender in the general purpose scripting language arena.</p> - <h2>Command line interface</h2> <p> -This version finalizes the separate command line interface (CLI) that can be -used for developing shell and desktop applications (with -<a href="http://gtk.php.net/">PHP-GTK</a>). The CLI is always built, but -installed automatically only if CGI version is disabled via --disable-cgi -switch during configuration. Alternatively, one can use <b>make install-cli</b> -target. On Windows CLI can be found in <b>cli</b> folder.</p> -<p> -CLI has a number of differences compared to other server APIs. More information -can be found in the PHP Manual: -<a href="/manual/en/features.commandline.php">Using PHP from the command line</a> + This version finalizes the separate command line interface (CLI) that can be + used for developing shell and desktop applications (with + <a href="http://gtk.php.net/">PHP-GTK</a>). The CLI is always built, but + installed automatically only if CGI version is disabled via --disable-cgi + switch during configuration. Alternatively, one can use <strong>make + install-cli</strong> target. On Windows CLI can be found in + <strong>cli</strong> folder. +</p> + +<p> + CLI has a number of differences compared to other server APIs. More information + can be found in the PHP Manual: + <a href="/manual/en/features.commandline.php">Using PHP from the command line</a> </p> <h2>Streams</h2> <p> -A very important "under the hood" feature is the streams API. It introduces a -unified approach to the handling of files, pipes, sockets, and other I/O -resources in the PHP core and extensions.</p> -<p> -What this means for users is that any I/O function that works with streams -(and that is almost all of them) can access built-in protocols, such as -HTTP/HTTPS and FTP/FTPS, as well as custom protocols registered from PHP -scripts. For more information please see: <a href="/manual/en/wrappers.php">List -of Supported Protocols/Wrappers</a> + A very important "under the hood" feature is the streams API. It introduces a + unified approach to the handling of files, pipes, sockets, and other I/O + resources in the PHP core and extensions. +</p> +<p> + What this means for users is that any I/O function that works with streams + (and that is almost all of them) can access built-in protocols, such as + HTTP/HTTPS and FTP/FTPS, as well as custom protocols registered from PHP + scripts. For more information please see: <a href="/manual/en/wrappers.php">List + of Supported Protocols/Wrappers</a> </p> <h2>New build system</h2> <p> -This iteration of the build system, among other things, replaces the slow -recursive make with one global Makefile and eases the integration of proper -dependencies. Automake is only needed for its aclocal tool. The build process is -now more portable and less resource-consuming. + This iteration of the build system, among other things, replaces the slow + recursive make with one global Makefile and eases the integration of proper + dependencies. Automake is only needed for its aclocal tool. The build process is + now more portable and less resource-consuming. </p> <h2>Improvements</h2> + <p>PHP 4.3.0 has many improvements and enhancements:</p> + <ul> - <li><b>GD library is now bundled with the distribution and it is recommended - to always use the bundled version</b></li> - <li>vpopmail and cybermut extensions are moved to PECL</li> - <li>several deprecated extensions (aspell, ccvs, cybercash, icap) - and SAPIs (fastcgi, fhttpd) are removed</li> - <li>speed improvements in a variety of string functions</li> - <li>Apache2 filter is improved, but is still - considered experimental (use with PHP in prefork and not worker (thread) - model since many extensions based on external libraries are not thread - safe)</li> - <li>various security fixes (imap, mysql, mcrypt, file upload, gd, etc)</li> - <li>new SAPI for embedding PHP in other applications (experimental)</li> - <li>much better test suite</li> - <li>significant improvements in dba, gd, pcntl, sybase, and xslt extensions</li> - <li>debug_backtrace() should help with debugging</li> - <li>error messages now contain URLs linking to pages describing the error or - function in question</li> - <li>Zend Engine has some fixes and minor performance enhancements</li> - <li>and <b>TONS</b> of other fixes, updates, new functions, etc</li> + <li> + <strong> + GD library is now bundled with the distribution and it is recommended + to always use the bundled version + </strong> + </li> + <li>vpopmail and cybermut extensions are moved to PECL</li> + <li> + several deprecated extensions (aspell, ccvs, cybercash, icap) + and SAPIs (fastcgi, fhttpd) are removed + </li> + <li>speed improvements in a variety of string functions</li> + <li> + Apache2 filter is improved, but is still considered experimental + (use with PHP in prefork and not worker (thread) model since many + extensions based on external libraries are not thread safe) + </li> + <li>various security fixes (imap, mysql, mcrypt, file upload, gd, etc)</li> + <li>new SAPI for embedding PHP in other applications (experimental)</li> + <li>much better test suite</li> + <li>significant improvements in dba, gd, pcntl, sybase, and xslt extensions</li> + <li>debug_backtrace() should help with debugging</li> + <li> + error messages now contain URLs linking to pages describing the error or + function in question + </li> + <li>Zend Engine has some fixes and minor performance enhancements</li> + <li>and <strong>TONS</strong> of other fixes, updates, new functions, etc</li> </ul> <p> -For the full list of changes in PHP 4.3.0, see the -<a href="/ChangeLog-4.php">ChangeLog</a> file. + For the full list of changes in PHP 4.3.0, see the + <a href="/ChangeLog-4.php#4.3.0">ChangeLog</a> file. </p> -<?php commonFooter(); ?> +<?php site_footer(); ?> Index: phpweb/release_4_3_1.php diff -u phpweb/release_4_3_1.php:1.3 phpweb/release_4_3_1.php:1.4 --- phpweb/release_4_3_1.php:1.3 Sat Jun 14 15:00:59 2003 +++ phpweb/release_4_3_1.php Thu Aug 14 09:10:36 2003 @@ -1,70 +1,66 @@ <?php -/* if you're reading this, it isn't because you've found a security hole. - this is an open source website. read and learn! */ - -header("Cache-Control: public, max-age=600"); - -require_once 'prepend.inc'; - -commonHeader("Hypertext Preprocessor"); -echo "\n<!--$MYSITE-->\n"; +// $Id: release_4_3_1.php,v 1.4 2003/08/14 13:10:36 goba Exp $ +$_SERVER['BASE_PAGE'] = 'release_4_3_1.php'; +include_once $_SERVER['DOCUMENT_ROOT'] . '/include/prepend.inc'; +site_header("PHP 4.3.1 Release Announcement"); ?> <h1> PHP Security Advisory: CGI vulnerability in PHP version 4.3.0 </h1> -<table border="0" cellpadding="0" cellspacing="0"> -<tr><td>Issued on:</td><td> </td><td><b>February 17, 2003</b></td></tr> -<tr><td>Software:</td><td> </td><td><b>PHP version 4.3.0</b></td></tr> -<tr><td>Platforms:</td><td> </td><td><b>All</b></td></tr> -</table> +<dl> + <dt>Issued on:</dt> + <dd>February 17, 2003</dd> + <dt>Software:</dt> + <dd>PHP version 4.3.0</dd> + <dt>Platforms:</dt> + <dd>All</dd> +</dl> <p> - The PHP Group has learned of a serious security vulnerability in - the CGI SAPI of PHP version 4.3.0. + The PHP Group has learned of a serious security vulnerability in + the CGI SAPI of PHP version 4.3.0. </p> - <h2>Description</h2> <p> - PHP contains code for preventing direct access to the CGI binary with - configure option "--enable-force-cgi-redirect" and php.ini option - "cgi.force_redirect". In PHP 4.3.0 there is a bug which renders these - options useless. + PHP contains code for preventing direct access to the CGI binary with + configure option "--enable-force-cgi-redirect" and php.ini option + "cgi.force_redirect". In PHP 4.3.0 there is a bug which renders these + options useless. </p> <p> - NOTE: This bug does NOT affect any of the other SAPI modules. - (such as the Apache or ISAPI modules, etc.) + NOTE: This bug does NOT affect any of the other SAPI modules. + (such as the Apache or ISAPI modules, etc.) </p> <h2>Impact</h2> <p> - Anyone with access to websites hosted on a web server which employs - the CGI module may exploit this vulnerability to gain access to any file - readable by the user under which the webserver runs. + Anyone with access to websites hosted on a web server which employs + the CGI module may exploit this vulnerability to gain access to any file + readable by the user under which the webserver runs. </p> <p> - A remote attacker could also trick PHP into executing arbitrary PHP code - if attacker is able to inject the code into files accessible by the CGI. - This could be for example the web server access-logs. + A remote attacker could also trick PHP into executing arbitrary PHP code + if attacker is able to inject the code into files accessible by the CGI. + This could be for example the web server access-logs. </p> <h2>Solution</h2> <p> - The PHP Group has released a new PHP version, 4.3.1, which incorporates - a fix for the vulnerability. All users of affected PHP versions are - encouraged to upgrade to this latest version. The downloads web site at - <a href="http://www.php.net/downloads.php">http://www.php.net/downloads.php</a> - has the new 4.3.1 source tarballs, Windows binaries and source patch - from 4.3.0 available for download. You will only need to upgrade if - you're using the CGI module of PHP 4.3.0. There are no other bugfixes - contained in this release. + The PHP Group has released a new PHP version, 4.3.1, which incorporates + a fix for the vulnerability. All users of affected PHP versions are + encouraged to upgrade to this latest version. <a href="/downloads.php">The + downloads page</a> has the new 4.3.1 source tarballs, Windows binaries + and source patch from 4.3.0 available for download. You will only need + to upgrade if you're using the CGI module of PHP 4.3.0. There are no + other bugfixes contained in this release. </p> <h2>Workarounds</h2> @@ -74,8 +70,8 @@ <h2>Credits</h2> <p> - The PHP Group would like to thank Kosmas Skiadopoulos for discovering - this vulnerability. + The PHP Group would like to thank Kosmas Skiadopoulos for discovering + this vulnerability. </p> -<?php commonFooter(); ?> +<?php site_footer(); ?> Index: phpweb/release_4_3_2_fr.php diff -u phpweb/release_4_3_2_fr.php:1.5 phpweb/release_4_3_2_fr.php:1.6 --- phpweb/release_4_3_2_fr.php:1.5 Sat Jun 14 15:00:59 2003 +++ phpweb/release_4_3_2_fr.php Thu Aug 14 09:10:36 2003 @@ -1,28 +1,19 @@ <?php -/* if you're reading this, it isn't because you've found a security hole. - this is an open source website. read and learn! */ - -header("Cache-Control: public, max-age=600"); - -require_once 'prepend.inc'; - -commonHeader("Annonce de publication de PHP 4.3.2"); -echo "\n<!--$MYSITE-->\n"; +// $Id: release_4_3_2_fr.php,v 1.6 2003/08/14 13:10:36 goba Exp $ +$_SERVER['BASE_PAGE'] = 'release_4_3_2_fr.php'; +include_once $_SERVER['DOCUMENT_ROOT'] . '/include/prepend.inc'; +site_header("Annonce de publication de PHP 4.3.2"); ?> -<h1> -Annonce de publication de PHP 4.3.2 -</h1> +<h1>Annonce de publication de PHP 4.3.2</h1> -<p> -[ <a href="/release_4_3_2.php">English version</a> ] -</p> +<p>[ <a href="/release_4_3_2.php">English version</a> ]</p> <p> - Après une longue étape de tests d'assurance Qualité, <a href="/downloads.php">PHP 4.3.2</a> - est finalement disponible!<br /> + Après une longue étape de tests d'assurance Qualité, + <a href="/downloads.php">PHP 4.3.2</a> est finalement disponible!<br /> Cette version de maintenance résoud un grand nombre de bugs trouvés dans - des versions plus anciennes de PHP, et il est <b>recommandé</b> + des versions plus anciennes de PHP, et il est <strong>recommandé</strong> de faire la mise à jour pour tous les utilisateurs PHP. </p> @@ -31,20 +22,35 @@ <p> PHP 4.3.2 contient notamment les corrections, ajouts et améliorations suivantes : </p> - <ul> - <li>Correction de plusieurs problèmes dangereux de dépassement de capacité avec les entiers.</li> - <li>Correction de plusieurs problèmes liés aux plate-formes 64-bits.</li> - <li>Nouveau module SAPI Apache 2.0 (sapi/apache2handler, activé avec l'option --with-apxs2).</li> - <li>Nouvelle fonction session_regenerate_id(). (Fonctionnalité importante pour contrer les usurpations de sessions).</li> - <li>Améliorations de l'extension dba.</li> - <li>Amélioration du module thttpd SAPI.</li> - <li>Abandon de GDLIB version 1.x.x (php_gd.dll) sous Windows.</li> - <li>Le manuel man sous Unix pour la version CLI de PHP.</li> - <li>Nouvelle option "disable_classes" pour permettre aux administrateurs de désactiver certaines classes pour des raisons de sécurité.</li> - </ul> + +<ul> + <li> + Correction de plusieurs problèmes dangereux de dépassement de + capacité avec les entiers. + </li> + <li>Correction de plusieurs problèmes liés aux plate-formes 64-bits.</li> + <li> + Nouveau module SAPI Apache 2.0 (sapi/apache2handler, activé + avec l'option --with-apxs2). + </li> + <li> + Nouvelle fonction session_regenerate_id(). (Fonctionnalité + importante pour contrer les usurpations de sessions). + </li> + <li>Améliorations de l'extension dba.</li> + <li>Amélioration du module thttpd SAPI.</li> + <li>Abandon de GDLIB version 1.x.x (php_gd.dll) sous Windows.</li> + <li>Le manuel man sous Unix pour la version CLI de PHP.</li> + <li> + Nouvelle option "disable_classes" pour permettre aux administrateurs + de désactiver certaines classes pour des raisons de + sécurité. + </li> +</ul> + <p> Pour une liste complète des modifications de PHP 4.3.2, reportez-vous au fichier - <a href="/ChangeLog-4.php">NEWS</a>. + <a href="/ChangeLog-4.php#4.3.2">ChangeLog</a>. </p> -<?php commonFooter(); ?> +<?php site_footer(); ?> Index: phpweb/release_4_3_2.php diff -u phpweb/release_4_3_2.php:1.9 phpweb/release_4_3_2.php:1.10 --- phpweb/release_4_3_2.php:1.9 Sat Jun 14 15:00:59 2003 +++ phpweb/release_4_3_2.php Thu Aug 14 09:10:36 2003 @@ -1,25 +1,18 @@ <?php -/* if you're reading this, it isn't because you've found a security hole. - this is an open source website. read and learn! */ - -header("Cache-Control: public, max-age=600"); - -require_once 'prepend.inc'; - -commonHeader("PHP 4.3.2 Release Announcement"); -echo "\n<!--$MYSITE-->\n"; +// $Id: release_4_3_2.php,v 1.10 2003/08/14 13:10:36 goba Exp $ +$_SERVER['BASE_PAGE'] = 'release_4_3_2.php'; +include_once $_SERVER['DOCUMENT_ROOT'] . '/include/prepend.inc'; +site_header("PHP 4.3.2 Release Announcement"); ?> -<h1> -PHP 4.3.2 Release Announcement -</h1> +<h1>PHP 4.3.2 Release Announcement</h1> -<p>[ <a href="/release_4_3_2_fr.php">Version Française</a> ] </p> +<p>[ <a href="/release_4_3_2_fr.php">Version Française</a> ]</p> <p> After a lengthy QA process, <a href="/downloads.php">PHP 4.3.2</a> is finally out!<br /> This maintenance release solves a lot of bugs found in earlier PHP versions - and is a <b>strongly</b> recommended upgrade for all users of PHP. + and is a <strong>strongly</strong> recommended upgrade for all users of PHP. </p> <h2>Bugfix release</h2> @@ -27,20 +20,32 @@ <p> PHP 4.3.2 contains, among others, following important fixes, additions and improvements: </p> - <ul> - <li>Fixes several potentially hazardous integer and buffer overflows.</li> - <li>Fixes for several 64-bit problems.</li> - <li>New Apache 2.0 SAPI module (sapi/apache2handler, enabled with --with-apxs2).</li> - <li>New session_regenerate_id() function. (Important feature against malicious session planting).</li> - <li>Improvements to dba extension.</li> - <li>Improvements to thttpd SAPI module.</li> - <li>Dropped support for GDLIB version 1.x.x (php_gd.dll) on Windows.</li> - <li>An unix man page for CLI version of PHP.</li> - <li>New "disable_classes" php.ini option to allow administrators to disable certain classes for security reasons.</li> - <li>..and a <b>HUGE</b> amount of other bug fixes!</li> - </ul> + +<ul> + <li>Fixes several potentially hazardous integer and buffer overflows.</li> + <li>Fixes for several 64-bit problems.</li> + <li> + New Apache 2.0 SAPI module (sapi/apache2handler, + enabled with --with-apxs2). + </li> + <li> + New session_regenerate_id() function. (Important feature + against malicious session planting). + </li> + <li>Improvements to dba extension.</li> + <li>Improvements to thttpd SAPI module.</li> + <li>Dropped support for GDLIB version 1.x.x (php_gd.dll) on Windows.</li> + <li>An unix man page for CLI version of PHP.</li> + <li> + New "disable_classes" php.ini option to allow administrators to + disable certain classes for security reasons. + </li> + <li>..and a <strong>HUGE</strong> amount of other bug fixes!</li> +</ul> + <p> - For a full list of changes in PHP 4.3.2, see the <a href="/ChangeLog-4.php">NEWS</a> file. + For a full list of changes in PHP 4.3.2, see the + <a href="/ChangeLog-4.php#4.3.2">ChangeLog</a>. </p> -<?php commonFooter(); ?> +<?php site_footer(); ?>