RHSA-2022:6542 — Red Hat Security Advisory: php:7.4 security update

Fixed packages 75

Release	Package	Fixed in
Red Hat · RHEL 8 enterprise_linux:8::appstream	apcu-panel	0:5.1.18-1.module+el8.3.0+6678+b09f589e
Red Hat · RHEL 8 enterprise_linux:8::appstream	libzip	0:1.6.1-1.module+el8.3.0+6678+b09f589e
Red Hat · RHEL 8 enterprise_linux:8::appstream	libzip-debuginfo	0:1.6.1-1.module+el8.3.0+6678+b09f589e
Red Hat · RHEL 8 enterprise_linux:8::appstream	libzip-debugsource	0:1.6.1-1.module+el8.3.0+6678+b09f589e
Red Hat · RHEL 8 enterprise_linux:8::appstream	libzip-devel	0:1.6.1-1.module+el8.3.0+6678+b09f589e
Red Hat · RHEL 8 enterprise_linux:8::appstream	libzip-tools	0:1.6.1-1.module+el8.3.0+6678+b09f589e
Red Hat · RHEL 8 enterprise_linux:8::appstream	libzip-tools-debuginfo	0:1.6.1-1.module+el8.3.0+6678+b09f589e
Red Hat · RHEL 8 enterprise_linux:8::appstream	php	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-bcmath	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-bcmath-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-cli	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-cli-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-common	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-common-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-dba	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-dba-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-dbg	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-dbg-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-debugsource	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-devel	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-embedded	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-embedded-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-enchant	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-enchant-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-ffi	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-ffi-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-fpm	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-fpm-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-gd	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-gd-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-gmp	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-gmp-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-intl	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-intl-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-json	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-json-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-ldap	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-ldap-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-mbstring	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-mbstring-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-mysqlnd	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-mysqlnd-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-odbc	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-odbc-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-opcache	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-opcache-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-pdo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-pdo-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-pear	1:1.10.13-1.module+el8.6.0+16577+0788886f
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-pecl-apcu	0:5.1.18-1.module+el8.3.0+6678+b09f589e
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-pecl-apcu-debuginfo	0:5.1.18-1.module+el8.3.0+6678+b09f589e
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-pecl-apcu-debugsource	0:5.1.18-1.module+el8.3.0+6678+b09f589e
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-pecl-apcu-devel	0:5.1.18-1.module+el8.3.0+6678+b09f589e
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-pecl-rrd	0:2.0.1-1.module+el8.3.0+6678+b09f589e
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-pecl-rrd-debuginfo	0:2.0.1-1.module+el8.3.0+6678+b09f589e
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-pecl-rrd-debugsource	0:2.0.1-1.module+el8.3.0+6678+b09f589e
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-pecl-xdebug	0:2.9.5-1.module+el8.3.0+6678+b09f589e
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-pecl-xdebug-debuginfo	0:2.9.5-1.module+el8.3.0+6678+b09f589e
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-pecl-xdebug-debugsource	0:2.9.5-1.module+el8.3.0+6678+b09f589e
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-pecl-zip	0:1.18.2-1.module+el8.3.0+6678+b09f589e
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-pecl-zip-debuginfo	0:1.18.2-1.module+el8.3.0+6678+b09f589e
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-pecl-zip-debugsource	0:1.18.2-1.module+el8.3.0+6678+b09f589e
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-pgsql	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-pgsql-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-process	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-process-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-snmp	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-snmp-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-soap	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-soap-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-xml	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-xml-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-xmlrpc	0:7.4.19-4.module+el8.6.0+16316+906f6c6d
Red Hat · RHEL 8 enterprise_linux:8::appstream	php-xmlrpc-debuginfo	0:7.4.19-4.module+el8.6.0+16316+906f6c6d

Vulnerabilities 3

High 7.8

CVE-2020-28949 Exploited Public exploit EPSS 85%

Archive_Tar through 1.4.10 has :// filename sanitization only to address phar attacks, and thus any other stream-wrappe…

drupal7 drupal7 php-pear php-pear Debian Ubuntu Alpine

Nov 19, 2020
KEV Aug 25, 2022
High 7.5

CVE-2020-36193 Exploited EPSS 71%

Directory Traversal in Archive_Tar

Tar.php in Archive_Tar through 1.4.11 allows write operations with Directory Traversal due to inadequate checking of symbolic links, a related issue to CVE-2020-28948.

drupal7 php-pear php-pear pear/archive_tar Debian Ubuntu Alpine Packagist

Jan 18, 2021
KEV Aug 25, 2022
High 7.8

CVE-2020-28948 Public exploit EPSS 47%

Multiple vulnerabilities through filename manipulation in Archive_Tar

Archive_Tar through 1.4.10 allows an unserialization attack because phar: is blocked but PHAR: is not blocked.

drupal/core drupal7 drupal7 php-pear Debian Ubuntu Alpine Packagist

Nov 19, 2020

References

article
https://access.redhat.com/security/updates/classification/#moderate
report
https://bugzilla.redhat.com/show_bug.cgi?id=1904001
report
https://bugzilla.redhat.com/show_bug.cgi?id=1910323
report
https://bugzilla.redhat.com/show_bug.cgi?id=1942961
advisory
https://security.access.redhat.com/data/csaf/v2/advisories/2022/rhsa-2022_6542.json
report
https://access.redhat.com/security/cve/CVE-2020-28948
advisory
https://www.cve.org/CVERecord?id=CVE-2020-28948
advisory
https://nvd.nist.gov/vuln/detail/CVE-2020-28948
report
https://access.redhat.com/security/cve/CVE-2020-28949
advisory
https://www.cve.org/CVERecord?id=CVE-2020-28949
advisory
https://nvd.nist.gov/vuln/detail/CVE-2020-28949
article
https://www.cisa.gov/known-exploited-vulnerabilities-catalog
report
https://access.redhat.com/security/cve/CVE-2020-36193
advisory
https://www.cve.org/CVERecord?id=CVE-2020-36193
advisory
https://nvd.nist.gov/vuln/detail/CVE-2020-36193

Red Hat Security Advisory: php:7.4 security update

Fixed packages 75

Vulnerabilities 3

Archive_Tar through 1.4.10 has :// filename sanitization only to address phar attacks, and thus any other stream-wrappe…

Directory Traversal in Archive_Tar

Multiple vulnerabilities through filename manipulation in Archive_Tar

References