Kritische Sicherheitslücke in PHP

Fehler gefährdet zahlreiche PHP-Applikationen

PHP-Entwickler Stefan Esser hat bei den Arbeiten an seinem "Hardening-Patch" für PHP einige Sicherheitslücken in der freien Scriptsprache entdeckt. Darunter auch ein Problem beim Upload von Dateien, das Esser als kritisch einstuft.

Anzeige

Die Schwachstelle im Datei-Upload-Code erlaubt es, das Array "GLOBALS" zu überschreiben, wenn "register_globals" aktiviert ist. Dies könne zu unerwarteten Sicherheitsproblemen in PHP-Code führen, das an sich als sicher angesehen wird.

Esser befürchtet daher Konsequenzen für viele PHP-Applikationen, z.B. solche, die PEAR.php verwenden oder auch vBulletin. Es sei auch möglich, auf diesem Weg fremden Code auszuführen.

Die Problematik beschreibt Esser in einem Artikel. Das Problem wirkt sich laut Esser auch auf Applikationen aus, die das Einbetten lokaler Dateien erlauben und im Safe-Mode von PHP laufen.

Wer den Hardening-Patch für PHP einsetzt, soll auf der sicheren Seite sein, allen anderen legt Esser dringend ein Update auf die neu erschienene Version PHP 4.4.1 nahe. Für PHP 5 ist noch kein Update erschienen.

Neben diesem kritischen Problem weist Esser auf weitere Sicherheitslücken in der Funktion parse_str() und eine XSS-Lücke in der Funktion phpinfo() hin.


M*I*B 20. Nov 2005

AUA! Ist das hier ein Rechtschreibforum oder was? Bahhh. Immer diese Oberlehrer...

MB 02. Nov 2005

OScommerce verlangt das afaik auch noch...

daace 02. Nov 2005

Bei der aktuellen XAMPP-Version (1.4.16) funktioniert die Seite (vorausgesetzt du meinst...

Coder 01. Nov 2005

du hast aber NULL ahnung von PHP! sei lieber still!

Martin F. 01. Nov 2005

Standard!

Kommentieren


SchuKo.Net Weblog / 01. Nov 2005

PHP Update auf Version 4.4.1



Anzeige

  1. Software-Entwickler Java / JavaScript (m/w)
    TONBELLER AG, Bensheim
  2. Inhouse Spezialist SAP (m/w)
    ROTA YOKOGAWA GmbH & Co. KG, Wehr am Rhein
  3. Anwendungsadministrator/IT-L- eiter (m/w)
    Wwe. Th. Hövelmann GmbH & Co. KG, Rees
  4. Entwicklungsingenieur (m/w) Software
    EBE Elektro-Bau-Elemente GmbH, Leinfelden-Echterdingen bei Stuttgart

 

Detailsuche


Folgen Sie uns
       


  1. Augmented Reality

    Metaio unterstützt 3D-Sensor für das iPad

  2. Olloclip

    Zusatzobjektive für iPhone 6 und 6 Plus

  3. 2Play Premium 200

    Unitymedia KabelBW bietet 200 MBit/s für 35 Euro

  4. Fabric

    Twitter stellt eigenes Delevoper-Kit vor

  5. Inbox

    Google erfindet die E-Mail neu

  6. Pangu 1.0.1

    Jailbreak für iOS 8.1

  7. Gratiseinwilligung für Google

    Verlage knicken beim Leistungsschutzrecht ein

  8. John Riccitiello

    Ex-EA-Chef ist neuer Boss von Unity Technologies

  9. Android Wear

    Moto 360 und G Watch erhalten Update

  10. Digitale Dividende II

    Bundesnetzagentur will DVB-T ab April 2015 beenden



Haben wir etwas übersehen?

E-Mail an news@golem.de



Spacelift: Der Fahrstuhl zu den Sternen
Spacelift
Der Fahrstuhl zu den Sternen
  1. Geheimmission im All Militärdrohne X-37B nach Langzeiteinsatz gelandet
  2. Raumfahrt Indische Sonde Mangalyaan erreicht den Mars
  3. Raumfahrt Asteroidensonde Hayabusa-2 ist startklar

3D-Druck ausprobiert: Internetausdrucker 4.0
3D-Druck ausprobiert
Internetausdrucker 4.0
  1. Niedriger Schmelzpunkt 3D-Drucken mit metallischer Tinte
  2. Deltadrucker Magna Japanisches Unternehmen zeigt Riesen-3D-Drucker
  3. 3D-Technologie US-Armee will Sprengköpfe drucken

Qubes OS angeschaut: Abschottung bringt mehr Sicherheit
Qubes OS angeschaut
Abschottung bringt mehr Sicherheit

    •  / 
    Zum Artikel