PHP 7.3.3/7.2.16/7.1.27

~~PHP 7 ChangeLog を並べ直してみただけです。Security Releaseとはいうものの、各バグの危険度がまだ評価されていないので待ち~~
いくつかでました。あ、まだ詳しく追ってないので評価は鵜呑みにしないでください。

せっかちな人のための結論

現時点で明らかになっている脆弱性を見る限り、外部から直接攻撃される可能性が比較的低めです。以下のいずれかを満たす必要があります

外部から提供された画像ファイルをアップロードされ、それをexif処理する可能性がある
- CMS
- wiki
phpコードをサーバ管理者以外がアップロードされうる
- 共有レンタルサーバなど

発行されたCVE

Core: rename() ということはシチュエーションは非常に限られます。別の脆弱性と併用するか、phpコードの設置者がサーバ管理者と完全同一ではない場合(例えばSaSSや共有レンタルサーバなど)の場合のみ直接脅威であると言えるのではないかと思います。
- CVE-2019-9637 = #77630 ※再現コードが明示されていないので未検証
EXIF: wikiやCMSなどで不特定多数の作った画像ファイルを受け取る可能性がある場合に危険度たかし
- CVE-2019-9638 = #77563
- CVE-2019-9641 = #77509 ※手元では再現できず
- CVE-2019-9640 = #77540

他に怪しいBug

privateになっているので詳細不明。他の修正の差分を取り除いて洗い出すしかないかな？
- Core #77329

試した環境

テストコードが提示されている、EXIFに限って調べてみました。
CVE-2019-9638,CVE-2019-9640 のみですが全ての環境で陽性です。CVE-2019-9641 はどうやって未再現できず。もしかして32bit onlyか、64bitでは別のダミーファイルが必要なのかも。

php 7.2.14 (selfrpm) on Amazon Linux 2
php 5.5.38 on Amazon Linux
php 5.6.40 (selfbuild) on CentOS 6.10

Changelog

Module	7.x	Link	Note
Core	3,2	#77589	Core dump using parse_ini_string with numeric sections
Core	3	#77329	Buffer Overflow via overly long Error Messages
Core	3	#77494	Disabling class causes segfault on member access
Core	3	#77498	Custom extension Segmentation fault when declare static property
Core	3	#77530	PHP crashes when parsing `(2)::class`
Core	3	#77546	iptcembed broken function
Core	3,2,1	#77630	rename() across the device may allow unwanted access during processing
COM	3,2	#77621	Already defined constants are not properly reported
COM	3	#77626	Persistence confusion in php_com_import_typelib()
EXIF	3,2,1	#77509	Uninitialized read in exif_process_IFD_in_TIFF
EXIF	3,2,1	#77540	Invalid Read on exif_process_SOFn
EXIF	3,2,1	#77563	Uninitialized read in exif_process_IFD_in_MAKERNOTE
EXIF	3,2,1	#77659	Uninitialized read in exif_process_IFD_in_MAKERNOTE
Mbstring	3	#77514	mb_ereg_replace() with trailing backslash adds null byte
MySQL	3,2		Disabled LOCAL INFILE by default, can be enabled using php.ini directive mysqli.allow_local_infile for mysqli, or PDO::MYSQL_ATTR_LOCAL_INFILE attribute for pdo_mysql.
OpenSSL	3	#77390	feof might hang on TLS streams in case of fragmented TLS records
PDO_OCI	3,2		Support Oracle Database tracing attributes ACTION, MODULE, CLIENT_INFO, and CLIENT_IDENTIFIER.
PHAR	3,2,1	#77396	Null Pointer Dereference in phar_create_or_parse_filename
PHAR	3,1	#77586	phar_tar_writeheaders_int() buffer overflow
phpdbg	3	#76596	phpdbg support for display_errors=stderr
SPL	3,2	#51068	DirectoryIterator glob:// don't support current path relative queries
SPL	3,2,1	#77431	openFile() silently truncates after a null byte
Standard	3,2	#77552	Unintialized php_stream_statbuf in stat functions
Standard	3	#77612	setcookie() sets incorrect SameSite header if all of its options filled