スクリプト言語「PHP」が、9月23日にアップデートされたようです。
現在、公式サイト「php.net」から「PHP 8.0.11」「PHP 7.4.24」「PHP 7.3.31」がダウンロードできるようです。
脆弱性を修正した、セキュリティアップデートとなっていると言うことなので、注意が必要です。
今回修正された脆弱性、CVE-2021-21706は、ZIP形式書庫ファイルの扱いに関するものだそうです。
「p_zip_make_relative_path()」の実装が、Windowsの絶対パスを適切に扱わないず、スラッシュで始まるパスを絶対パスと扱うため、「ZipArchive::extractTo()」で与えられた出力フォルダーの外に置かれたファイルを、ZIPアーカイブに含めてしまうことができるそうです。
実は、この問題は、かなり古くから存在したようです。
影響範囲は、かなり大きいようです。
古い「PHP」バージョンで、ZIPアーカイブを扱っているとなれば、修正バージョンへのアップデートが必要となるそうです。
その他にも、新バージョンでは、文字列を連結する際の整数オーバーフローやmsg_sendで確認されたヒープオーバーフローが修正されているそうです。