Bug in PHP 7.2 en 7.3

[Briolet]

In deze twee PHP versies zit een ernstige bug in de module 'PHP-FPM' , in combinatie met de Nginx webserver. (security.nl)


De PHP-FPM zit niet standaard bij alle PHP instals, maar als ik de php-info opvraag op mijn nas, zie ik dat deze wel bij het syno pakket gebruikt wordt.

Tot Synology een update uitbrengt is het beter geen Nginx te gebruiken maar Apache of PHP 5.6 te gebruiken, die wel veilig is.

[GerardR]

PHP 7.3 in combinatie met Apache HTTP server 2.2 kan dus wel?

[Briolet]

Ja. De bug zit blijkbaar in alle versies van PHP, maar is alleen uit te buiten met PHP 7.0 en hoger in combinatie met Ngninx. En nog een paar voorwaarden.

Maar in die voorwaarden zou ik alleen duiken als je al de kwetsbare configuratie gebruikt.

Wel grappig dan je met de niet meer ondersteunde PHP 5.6 veiliger bent dan met de nieuwste 7.3 versie van Synology. Het zou kunnen dat de Synology versie in de standaard configuratie nog steeds niet aan alle voorwaarden voldoet en dat Synology dan besluit om geen haast te maken met een update.

[GerardR]

Op mijn vraag over mailstation heeft Synology laten weten over te stappen naar php 7.2 in DSM 7.0 beta

[bartmans99]

Nou, zelfs met deze bug is PHP 5.6 niet veilig(er). End-of-line 31 december 2018, sindsdien geen nieuwe patches meer en ook inherent al minder veilig dan PHP 7>.

Voor intern gebruik op een NAS maakt het niet uit, maar voor public facing sites is PHP 5.6 echt niet aan te raden, icm welke webserver dan ook.

Synology zou daarom ook voor alle packages naar 7.3 moeten gaan imho.

[Briolet]

Zolang er in versie 5.6 nog geen nieuwe bug ontdekt is, is hij misschien zelfs veiliger omdat er langer de tijd was om bugs te vinden. Nieuwere versies introduceren altijd weer nieuwe bugs.

De belangrijkste reden om nu over te stappen op een nieuwe versie is dat je nu de tijd hebt om alles aan te passen. Als er nu nog een bug in 5.6 gevonden wordt, zul je wel snel moeten overstappen.

En zelfs een end-of-life product kan nog door anderen gepatched worden. Het is ten slotte open source. Ik heb begrepen dat dit in het verleden ook gebeurd is met oudere php versies die onderdeel van pakketten waren. Hoewel ik niet verwacht dat Synology dat gaat doen.