phar: Document changes done in 76774

php/doc-en@2b23224

Author: mumumu

reference/phar/Phar.xml

@@ -1,6 +1,6 @@
 <?xml version="1.0" encoding="utf-8"?>
 <!-- $Revision$ -->
-<!-- EN-Revision: 18900b16944d69c38808c42d30f7150e83faec0d Maintainer: takagi Status: ready -->
+<!-- EN-Revision: 2b232242b1c4a99e689f79bd47735008c5009840 Maintainer: takagi Status: ready -->
 <!-- Credits: mumumu -->
 <reference xml:id="class.phar" role="class" xmlns="http://docbook.org/ns/docbook" xmlns:xlink="http://www.w3.org/1999/xlink" xmlns:xi="http://www.w3.org/2001/XInclude">
  <title>Phar クラス</title>
@@ -173,10 +173,33 @@
         Zip アーカイブの Unix タイムスタンプ拡張のサポートが追加されました。
        </entry>
       </row>
+      <row>
+       <entry>8.0.0</entry>
+       <entry>
+        アーカイブをオープンした際に、メタデータは展開されなくなりました。
+        展開処理は、<methodname>Phar::getMetadata</methodname>
+        をコールするまで遅延されます。
+       </entry>
+      </row>
      </tbody>
     </tgroup>
    </informaltable>
   </section>
+
+  <section role="notes">
+   &reftitle.notes;
+   <caution>
+    <simpara>
+     PHP 8.0.0 より前のバージョンでは、アーカイブをオープンした際に、
+     メタデータが展開されていました。このことで、
+     セキュリティ上の脆弱性に繋がる可能性がありました。
+     PHP 8.0.0 移行では、メタデータは <methodname>Phar::getMetadata</methodname>
+     をコールした時にのみ展開されるようになりました。
+     このメソ度には、セキュリティ上の理由で、
+     展開を制限するオプションが存在します。
+    </simpara>
+   </caution>
+  </section>
  </partintro>
 
  &reference.phar.entities.Phar;

reference/phar/Phar/getMetadata.xml

@@ -1,6 +1,6 @@
 <?xml version="1.0" encoding="utf-8"?>
 <!-- $Revision$ -->
-<!-- EN-Revision: f03806fcd8fe03a0501bd40b6e3939ff6589a1d2 Maintainer: takagi Status: ready -->
+<!-- EN-Revision: 2b232242b1c4a99e689f79bd47735008c5009840 Maintainer: takagi Status: ready -->
 <refentry xml:id="phar.getmetadata" xmlns="http://docbook.org/ns/docbook">
  <refnamediv>
   <refname>Phar::getMetadata</refname>
@@ -18,6 +18,16 @@
    の任意の変数をシリアライズしたものです。
   </para>
 
+  <caution>
+   <simpara>
+    メタデータにアクセスすると、メタデータの展開処理が発生します。
+    これによって、任意の PHP コードの実行をトリガできます。
+    このメソッドを信頼できない phar アーカイブに対して使ってはいけません。
+    使う場合は、<parameter>unserializeOptions</parameter>
+    を安全な方法で設定してください。
+   </simpara>
+  </caution>
+
  </refsect1>
  <refsect1 role="parameters">
   &reftitle.parameters;