遠端 Debian 11 主機上安裝的多個套件受到 dsa-5082 公告中提及的多個弱點影響。

  - 在 7.3.33 之前的 7.3.x、7.4.26 之前的 7.4.x 和 8.0.13 之前的 8.0.x 的 PHP 版本中，某些 XML 剖析函式 (如 simplexml_load_file()) 會對傳遞給它們的檔案名稱進行 URL 解碼。如果該檔案名稱包含 URL 編碼的 NUL 字元，這可能會造成函式將其解譯為檔案名稱的結尾，進而以與使用者預期不同的方式解譯檔案名稱，進而可能導致其讀取與預期不同的檔案。(CVE-2021-21707)

  - 在早於 7.4.28 的 PHP 7.4.x 版本、早於 8.0.16 的 PHP 8.0.x 版本以及早於 8.1.3 的 PHP 8.1.x 版本中使用具有 FILTER_VALIDATE_FLOAT 篩選器和最小/最大限制的篩選函式時，如果篩選失敗，則可能會觸發在釋放後使用已配置的記憶體，進而可能導致當機問題，並可能覆寫其他記憶體區塊和 RCE。此問題會影響：使用具有最小/最大限制的 FILTER_VALIDATE_FLOAT 的程式碼。
    (CVE-2021-21708)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian DSA-5082-1：php7.4 - 安全性更新

critical Nessus Plugin ID 158202

版本 1.5