Vbulletin 3.8.7和PHP 5.2.17问题

Question

我的朋友想知道在CentOS上运行vbulletin 3.8.7和PHP 5.2.17时是否存在安全问题。 我看到PHP 5.2.17容易受到CVE-2012-2688和CVE-2012-2386的攻击，但我不知道vbulletin是否利用Phar扩展或接受用户输入的scandir（）函数。 熟悉vbulletin来源的任何人都可以告诉我，我的朋友是否应该关注这些vulnerabilites？

Answer 1

尽管vB的问题更适合于官方vB论坛，但我们可以轻松地检查CentOS中任何CVE的状态。

CentOS是Red Hat Enterprise Linux的派生产品。 RHEL采取的任何CVE都将在几周内进入CentOS。

• RHEL将CVE-2012-2386的严重性评为“中等”。 已在RHEL5的php53软件包和RHEL6的php软件包中对其进行了修补。 香草RHEL5中的php软件包未更新为5.1，因为您无法在5.1中执行PHAR。
• CVE-2012-2688被RHEL评级为“低”严重性， 尚未修补 。 我尝试了遵循CVE链接，但是它们都以严重缺乏有关漏洞利用和触发方式的有用信息而告终。 所有这些都可以追溯到PHP更新日志，该日志仅列出了一个错误并已修复，而没有列出错误号。

但是，存在一个明显的胖子问题。

• RHEL 5随PHP 5.1一起提供，并提供PHP 5.3作为单独的软件包。
• RHEL 6随PHP 5.3一起提供。

您正在运行PHP 5.2。 没有RHEL或CentOS版本曾经提供了5.2。 您从外部来源获得了这些RPM，因此需要与该来源进行检查以查看它们是否已反向移植了更改。 假设他们没有。

考虑使用Remi的repo进行PHP更新。 Remi是Fedora发行版的PHP软件包管理器，它是发行版的上游资源，最终成为RHEL。