Kritische Sicherheitslücke in PHP

Fehler gefährdet zahlreiche PHP-Applikationen

PHP-Entwickler Stefan Esser hat bei den Arbeiten an seinem "Hardening-Patch" für PHP einige Sicherheitslücken in der freien Scriptsprache entdeckt. Darunter auch ein Problem beim Upload von Dateien, das Esser als kritisch einstuft.

Anzeige

Die Schwachstelle im Datei-Upload-Code erlaubt es, das Array "GLOBALS" zu überschreiben, wenn "register_globals" aktiviert ist. Dies könne zu unerwarteten Sicherheitsproblemen in PHP-Code führen, das an sich als sicher angesehen wird.

Esser befürchtet daher Konsequenzen für viele PHP-Applikationen, z.B. solche, die PEAR.php verwenden oder auch vBulletin. Es sei auch möglich, auf diesem Weg fremden Code auszuführen.

Die Problematik beschreibt Esser in einem Artikel. Das Problem wirkt sich laut Esser auch auf Applikationen aus, die das Einbetten lokaler Dateien erlauben und im Safe-Mode von PHP laufen.

Wer den Hardening-Patch für PHP einsetzt, soll auf der sicheren Seite sein, allen anderen legt Esser dringend ein Update auf die neu erschienene Version PHP 4.4.1 nahe. Für PHP 5 ist noch kein Update erschienen.

Neben diesem kritischen Problem weist Esser auf weitere Sicherheitslücken in der Funktion parse_str() und eine XSS-Lücke in der Funktion phpinfo() hin.


M*I*B 20. Nov 2005

AUA! Ist das hier ein Rechtschreibforum oder was? Bahhh. Immer diese Oberlehrer...

MB 02. Nov 2005

OScommerce verlangt das afaik auch noch...

daace 02. Nov 2005

Bei der aktuellen XAMPP-Version (1.4.16) funktioniert die Seite (vorausgesetzt du meinst...

Coder 01. Nov 2005

du hast aber NULL ahnung von PHP! sei lieber still!

Martin F. 01. Nov 2005

Standard!

Kommentieren


SchuKo.Net Weblog / 01. Nov 2005

PHP Update auf Version 4.4.1



Anzeige

  1. IT-Ingenieurinnen/IT-Ingenie- ure
    Landeshauptstadt München, München
  2. Manager (m/w) Funktionale Sicherheit Organisation
    Automotive Safety Technologies GmbH, Gaimersheim/Ingolstadt
  3. Software Entwickler (m/w)
    PIN Mail AG, Berlin
  4. Mitarbeiter in der Beratung (m/w) Application Management
    Daimler AG, Untertürkheim

 

Detailsuche


Spiele-Angebote
  1. NEU: Might & Magic X Legacy - Digital Deluxe Edition [Download]
    8,51€
  2. NEU: Spiele von Warner reduziert
    (u. a. Lego Batman 3 PS4 34,99€, Mittelerde GOTY PS4 35,97€, Lego Hobbit PS4 25,97€)
  3. World of Warcraft: Warlords of Draenor
    26,99€ statt 41,99€

 

Weitere Angebote


Folgen Sie uns
       


  1. 20 Jahre

    Amazon kündigt Sonderangebote nur für Prime-Mitglieder an

  2. Spionagesoftware

    Hacking Team von Unbekannten gehackt

  3. Nexus 5 (2015)

    Weitere Details zu LGs nächstem Nexus-Smartphone

  4. Lollipop

    Android 5.1.1 erreicht Galaxy-S6-Modelle in Deutschland

  5. Betriebssysteme

    Mehr Code in Linux 4.2rc1 als je zuvor

  6. Fehler bei Microsoft

    Previews von Windows 10 lassen sich nicht aktivieren

  7. Spieleentwicklung

    "Free-to-Play ist das beste Geschäftsmodell für E-Sport"

  8. Hohe Reichweite

    5er BMW mit Wasserstoffantrieb kommt 500 km weit

  9. Patentantrag

    Apple Pay von Nutzer zu Nutzer denkbar

  10. Euro

    Griechische Nutzer bei Paypal, iTunes und Amazon ausgesperrt



Haben wir etwas übersehen?

E-Mail an news@golem.de



Musik-Streaming-Dienste: Apple Music klingt wie alle anderen
Musik-Streaming-Dienste
Apple Music klingt wie alle anderen
  1. Apple Music iCloud verpasst der eigenen Musik einen Kopierschutz
  2. Apple Music Beats 1 kann auch mit Android-Geräten gehört werden
  3. Musik-Streaming Apple einigt sich offenbar mit Indie-Labels

BND-Selektorenaffäre: Die Hasen vom Bundeskanzleramt
BND-Selektorenaffäre
Die Hasen vom Bundeskanzleramt
  1. Ex-Minister Pofalla NSA-Affäre war doch nicht beendet
  2. BND-Sonderermittler Graulich Zen-Buddhist mit Billig-Smartphone und Virenscanner
  3. Innenminister de Maizière "BND ist zu 100 Prozent für Fehler verantwortlich"

Intel Compute Stick im Test: Der mit dem Lüfter streamt
Intel Compute Stick im Test
Der mit dem Lüfter streamt
  1. Management Intel-Präsidentin tritt zurück und Mobile-Chef muss gehen
  2. FPGAs Intel wird Kauf von Altera heute ankündigen
  3. FPGAs Intel will FPGA-Experten Altera doch noch kaufen

  1. Re: Ohne Preisangabe uninterresant

    Heldbock | 11:15

  2. Re: ... zu spät ...

    NaruHina | 11:14

  3. Re: Merkt Euch das gut...

    sofries | 11:13

  4. Re: Und wenn man den eigenen Provider nach der...

    plutoniumsulfat | 11:13

  5. der IWF muss Durck ausüben, diese Linkspartei ist...

    devman | 11:13


  1. 10:46

  2. 10:37

  3. 10:20

  4. 10:00

  5. 09:38

  6. 09:24

  7. 09:05

  8. 08:57


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel