Kritische Sicherheitslücke in PHP

Fehler gefährdet zahlreiche PHP-Applikationen

PHP-Entwickler Stefan Esser hat bei den Arbeiten an seinem "Hardening-Patch" für PHP einige Sicherheitslücken in der freien Scriptsprache entdeckt. Darunter auch ein Problem beim Upload von Dateien, das Esser als kritisch einstuft.

Anzeige

Die Schwachstelle im Datei-Upload-Code erlaubt es, das Array "GLOBALS" zu überschreiben, wenn "register_globals" aktiviert ist. Dies könne zu unerwarteten Sicherheitsproblemen in PHP-Code führen, das an sich als sicher angesehen wird.

Esser befürchtet daher Konsequenzen für viele PHP-Applikationen, z.B. solche, die PEAR.php verwenden oder auch vBulletin. Es sei auch möglich, auf diesem Weg fremden Code auszuführen.

Die Problematik beschreibt Esser in einem Artikel. Das Problem wirkt sich laut Esser auch auf Applikationen aus, die das Einbetten lokaler Dateien erlauben und im Safe-Mode von PHP laufen.

Wer den Hardening-Patch für PHP einsetzt, soll auf der sicheren Seite sein, allen anderen legt Esser dringend ein Update auf die neu erschienene Version PHP 4.4.1 nahe. Für PHP 5 ist noch kein Update erschienen.

Neben diesem kritischen Problem weist Esser auf weitere Sicherheitslücken in der Funktion parse_str() und eine XSS-Lücke in der Funktion phpinfo() hin.


M*I*B 20. Nov 2005

AUA! Ist das hier ein Rechtschreibforum oder was? Bahhh. Immer diese Oberlehrer...

MB 02. Nov 2005

OScommerce verlangt das afaik auch noch...

daace 02. Nov 2005

Bei der aktuellen XAMPP-Version (1.4.16) funktioniert die Seite (vorausgesetzt du meinst...

Coder 01. Nov 2005

du hast aber NULL ahnung von PHP! sei lieber still!

Martin F. 01. Nov 2005

Standard!

Kommentieren


SchuKo.Net Weblog / 01. Nov 2005

PHP Update auf Version 4.4.1



Anzeige

  1. Software Tester / Testspezialist: Testautomatisierung / Senior Software Testautomatisierer (m/w)
    imbus AG, Möhrendorf (bei Erlangen), München und Norderstedt (bei Hamburg)
  2. Pharmazeutisch-technischer Assistent (m/w) Software-Support und -Entwicklung
    Deutscher Apotheker Verlag, Stuttgart
  3. Softwareentwickler (m/w) Schwerpunkt Regelungstechnik
    Weinmann Geräte für Medizin GmbH + Co. KG, Hamburg
  4. Softwareentwickler (m/w) .NET/C#
    Seven2one Informationssysteme GmbH, Karlsruhe

 

Detailsuche


Folgen Sie uns
       


  1. Osquery

    Systemüberwachung per SQL von Facebook

  2. Sicherheitslücke

    Drupal-Team warnt erneut vor Folgen

  3. Spieldesign

    Kampf statt Chaos

  4. Techland

    Last-Gen-Konsolen zu schwach für Dying Light

  5. Passport im Test

    Blackberry beweist Format

  6. Streaming

    Sky als Online-Abo mit Live-TV und Einzelabruf

  7. Band

    Microsofts Wearable hört und fühlt

  8. Quartalszahlen

    Samsungs Gewinn bricht wegen Preiskampf bei Smartphones ein

  9. Greg Kroah-Hartman

    Kdbus wird zur Aufnahme in Linux vorgeschlagen

  10. Grafikkarte

    AMD kontert Nvidias Maxwell mit 8-GByte-Radeons



Haben wir etwas übersehen?

E-Mail an news@golem.de



Moore's Law: Totgesagte schrumpfen länger
Moore's Law
Totgesagte schrumpfen länger

Samsung Galaxy Note 4 im Test: Ausdauerndes Riesen-Smartphone mit Top-Hardware
Samsung Galaxy Note 4 im Test
Ausdauerndes Riesen-Smartphone mit Top-Hardware
  1. Galaxy Note 4 4,5 Millionen verkaufte Geräte in einem Monat
  2. Samsung Galaxy Note 4 wird teurer und kommt früher
  3. Gapgate Spalt im Samsung Galaxy Note 4 ist gewollt

iPad Air 2 im Test: Toll, aber kein Muss
iPad Air 2 im Test
Toll, aber kein Muss
  1. Tablet Apple verdient am iPad Air 2 weniger als am Vorgänger
  2. iFixit iPad Air 2 - wehe, wenn es kaputtgeht
  3. iPad Air 2 Benchmark Apples A8X überrascht mit drei Prozessor-Kernen

    •  / 
    Zum Artikel