References

• Large security holes found in PHP
• Zahlreiche Schwachstellen in Skriptsprache PHP (Heise News)
• PHP Input Validation Vulnerabilities
• Multiple vulnerabilities within PHP 4/5 - Security Advisory
• PHP Vulnerabilities (Handler's Diary December 17th 2004)

• PHP 4.3.10 Release Announcement

Upgrade a Debian System

Gefunden habe ich das Paket via http://packages.qa.debian.org/p/php4.html, es ist nur anscheinend noch in keiner release mit dabei (weder stable, unstable noch testing).

Zuerst hatte ich mir php4-common_4.3.10-2 und libapache2-mod-php4_4.3.10-2 heruntergeladen und installiert (benötigt u.a. neues libexpat1-Paket), hatte dann aber (logischerweise) Abhängigkeits-Probleme mit den php-Modulen:

  php4-curl: Depends: php4-common (= 4:4.3.9-1) but 4:4.3.10-2 is to be installed
  php4-domxml: Depends: php4-common (= 4:4.3.9-1) but 4:4.3.10-2 is to be installed
  php4-imap: Depends: php4-common (= 4:4.3.9-1) but 4:4.3.10-2 is to be installed
  php4-ldap: Depends: php4-common (= 4:4.3.9-1) but 4:4.3.10-2 is to be installed
  php4-mcal: Depends: php4-common (= 4:4.3.9-1) but 4:4.3.10-2 is to be installed
  php4-mhash: Depends: php4-common (= 4:4.3.9-1) but 4:4.3.10-2 is to be installed
  php4-mysql: Depends: php4-common (= 4:4.3.9-1) but 4:4.3.10-2 is to be installed
  php4-recode: Depends: php4-common (= 4:4.3.9-1) but 4:4.3.10-2 is to be installed
  php4-snmp: Depends: php4-common (= 4:4.3.9-1) but 4:4.3.10-2 is to be installed
  php4-xslt: Depends: php4-common (= 4:4.3.9-1) but 4:4.3.10-2 is to be installed

Habe mir dann folgendermassen alle heruntergeladen und installiert:

#> wget ftp://ftp.de.debian.org/debian/pool/main/p/php4/php4-*_4.3.10-2_i386.deb
#> dpkg -i php4-*

Man braucht dazu logischerweise auch noch ein paar andere neuere Pakete:

• php4-curl depends on libcurl3 (>= 7.12.2-1)
• php4-gd depends on libgd2-xpm (>= 2.0.33)
• php4-gd depends on libpng12-0 (>= 1.2.8rel)
• php4-gd depends on libt1-5 (>= 5.0.2)
• php4-odbc depends on unixodbc
• php4-sybase depends on libct1

Wenn apt auf testing geschaltet ist, reicht dazu ein apt-get -f install.

Dann nochmal mit

# php -v
PHP 4.3.10-2 (cli) (built: Dec 19 2004 03:41:45)
Copyright (c) 1997-2004 The PHP Group
Zend Engine v1.3.0, Copyright (c) 1998-2004 Zend Technologies

Sowas sollte halt nicht auftreten:

# php -v
PHP Warning:  Unknown(): Unable to load dynamic library '/usr/lib/php4/20020429/curl.so' - /usr/lib/php4/20020429/curl.so: cannot open shared object file: No such file or directory in Unknown on line 0
PHP Warning:  Unknown(): Unable to load dynamic library '/usr/lib/php4/20020429/gd.so' - /usr/lib/php4/20020429/gd.so: cannot open shared object file: No such file or directory in Unknown on line 0
PHP 4.3.10-2 (cli) (built: Dec 19 2004 03:41:45)
Copyright (c) 1997-2004 The PHP Group
Zend Engine v1.3.0, Copyright (c) 1998-2004 Zend Technologies

Und dann:

# /etc/init.d/apache2 reload