PHP 中發現多個弱點且已更正：

在 PHP 5.4.26 版和更舊版本中使用時，libgd 內 gdxpm.c 的 gdImageCreateFromXpm 函式會允許遠端攻擊者透過 XPM 檔案中的特製色彩表格，造成拒絕服務 (NULL 指標解除參照和應用程式損毀) (CVE-2014-2497)。

5.19 版本之前的檔案並未正確限制 regex 搜尋期間的資料讀取量，進而允許遠端攻擊者透過於處理 awk 規則期間觸發回溯的特製檔案造成拒絕服務 (CPU 消耗)。注意：此弱點之所以存在，是因為 CVE-2013-7345 的修正不完整 (CVE-2014-3538)。

直至 5.19 的檔案 (用於 5.4.32 之前版本和 5.5.16 之前的 5.5.x 版 PHP 的 Fileinfo 元件) 中，cdf.c 的 cdf_read_property_info 函式中存在整數溢位，可允許遠端攻擊者透過特製的 CDF 檔案引發拒絕服務 (應用程式損毀)。注意：
此弱點之所以存在，是因為 CVE-2012-1571 的修正不完整 (CVE-2014-3587)。

在 5.4.32 之前版本和 5.5.16 之前的 5.5.x 版 PHP 中，ext/standard/dns.c 的 php_parserr 函式存在多個緩衝區溢位，可允許遠端 DNS 伺服器透過與 dns_get_record 函式和 dn_expand 函式相關的特製 DNS 記錄引發拒絕服務 (應用程式損毀)，或可能執行任意程式碼。注意：此問題之所以存在，是因為 CVE-2014-4049 (CVE-2014-3597) 的修正不完整。

在 5.4.32 之前的 5.4.x 版和 5.5.16 版之前的 5.5.x 版 PHP 中，GD 元件的 gd_ctx.c 未確定路徑名稱缺少 \%00 序列，這可允許遠端攻擊者透過某應用程式的特製輸入來覆寫任意檔案，而該應用程式會呼叫 (1) imagegd、(2) imagegd2、(3) imagegif、(4) imagejpeg、(5) imagepng、(6) imagewbmp 或 (7) imagewebp 函式 (CVE-2014-5120)。

更新版 php 套件已升級至 5.5.16 版，可解決這些安全性瑕疵。

此外，php-apc 已經針對更新的 php 套件進行重建，且 php-timezonedb 套件已經升級至 2014.6 版。

偵測

Mandriva Linux 安全性公告：php (MDVSA-2014:172)

medium Nessus Plugin ID 77651

找不到變更記錄