<div dir="ltr"><br><div class="gmail_extra"><div class="gmail_quote">On Fri, Feb 14, 2014 at 11:53 PM, Salvatore Bonaccorso <span dir="ltr"><<a href="mailto:carnil@debian.org" target="_blank">carnil@debian.org</a>></span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">
I clone this bugreport, as php5 embedding a modified copy of libmagic<br>
would also be affected by CVE-2014-1943.<br></blockquote></div><br></div><div class="gmail_extra">Thanks.<br><br></div><div class="gmail_extra">I've looked at the build logs it does seems like the fileinfo extension uses the internal libmagic during build (verified upstream forced this since PHP 5.3.0 at <a href="http://git.php.net/?p=php-src.git;a=commitdiff;h=ccc012d3f656236c29c075a9e5dfbe850e00915b">http://git.php.net/?p=php-src.git;a=commitdiff;h=ccc012d3f656236c29c075a9e5dfbe850e00915b</a>)<br>
<br>But I'm still not sure why do we have a libmagic-dev build-dep and a hard coded dependency on libmagic1 for the various SAPIs. But that's a side note...<br><br></div><div class="gmail_extra">The question is: do we want to patch this ourselves, or wait for PHP to provide the fix based on the linked commits? I guess the latter would be best, unless it will take them too much time.<br>
</div><div class="gmail_extra"><br></div><div class="gmail_extra">Kaplan<br></div></div>