Abo
  • Services:
Anzeige

Kritische Sicherheitslücken in PHP (Update 2)

Insgesamt sieben sicherheitskritische Fehler entdeckt

Stefan Esser von Hardened-PHP-Projekt weist auf sieben Sicherheitslücken in der freien Scriptsprache PHP hin, mit denen unter anderem beliebiger Code auf verwundbaren Systemen ausgeführt werden kann. Die neu erschienenen PHP-Versionen 4.3.10 und 5.0.3 beseitigen diese und fünf weitere Probleme.

Esser hat die Sicherheitslücken bei der Arbeit an Hardened-PHP entdeckt, allerdings meldet auch Martin Eiszner von Sec-Consult für die kritischste der Lücke "Entdecker-Ansprüche" an. Esser weist den Vorwurf zurück, die von ihm entdeckten Sicherheitslücken hätten mit der von Eiszner entdeckten nichts zu tun, so Esser.

Anzeige

Zwei Fehler in der Funktion unserialize() erlauben es, im Zusammenspiel mit speziell präparierten Strings beliebigen Code auf entsprechenden Systemen auszuführen. Zahlreiche PHP-Applikationen nutzen diese Funktion, um Cookie-Inhalte umzuwandeln, darunter unter anderem phpBB2, Invision Board, vBulletin, Woltlab Burning Board 2.x., Serendipity und phpAds(New).

Weitere Fehler in pack() und unpack() können zu Integer-Overflows führen. Zwei weitere Fehler erlauben es, Sicherungsmechanismen des "Safe-Mode" von PHP zu umgehen. Das Abschneiden von Pfaden durch einige Implementierungen der Funktionen realpath() erlaubt es Angreifern unter Umständen, beliebige Dateien einzubinden.

Weitere Fehler finden sich in den Erweiterungen "shmop" und "exif" sowie der Funktionen php_addslashes() und in sehr seltenen Umständen bei Datei-Uploads. Hinzu kommt das Problem in unserialize() auf das Martin Eiszner hinweist.

Die Fehler sind in den PHP-Versionen 4.3.10 bzw. 5.0.3 beseitigt, die unter php.net zum Download bereitstehen.


eye home zur Startseite
Beno 26. Dez 2004

Ein toller Admin bist du wenn du ein Forum mit der Ladezeit von knapp 2 Minuten betreiben...

fthecat 19. Dez 2004

Und jetzt ausnahmsweise mal die Wahrheit: Keiner der beiden Superhacker hat den Bug...

nico 17. Dez 2004

eventuell liegt es doch am schlecht geproggten forum und wehniger am php selbst

Der Admin 16. Dez 2004

...und mit den Sicherheitslücken leben. Toller Tip, danke!

Beno 16. Dez 2004

Ich muss leider sagen das die Performance der 2 neuen Versionen unter vBulletin...


SchuKo.Net Weblog / 16. Dez 2004

SchuKo.Net Weblog / 16. Dez 2004



Anzeige

Stellenmarkt
  1. Sky Deutschland GmbH, Unterföhring bei München
  2. MÜNCHENSTIFT GmbH, München
  3. BG-Phoenics GmbH, München
  4. ING-DiBa AG, Frankfurt


Anzeige
Blu-ray-Angebote
  1. (Blu-rays, 4K UHDs, Box-Sets und Steelbooks im Angebot)
  2. (u. a. Hobbit Trilogie Blu-ray 43,89€ und Batman Dark Knight Trilogy Blu-ray 17,99€)
  3. 24,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       


  1. Boeing und SpaceX

    ISS bald ohne US-Astronauten?

  2. E-Mail-Konto

    90 Prozent der Gmail-Nutzer nutzen keinen zweiten Faktor

  3. USK

    Nintendo Labo landet fast im Altpapier

  4. ARM-SoC-Hersteller

    Qualcomm darf NXP übernehmen

  5. Windows-API-Nachbau

    Wine 3.0 bringt Direct3D 11 und eine Android-App

  6. Echtzeit-Strategie

    Definitive Edition von Age of Empires hat neuen Termin

  7. Ein Jahr Trump

    Der Cheerleader der deregulierten Wirtschaft

  8. Ryzen 2000

    AMDs Ryzen-Chip schafft 200 MHz mehr

  9. Radeon Software

    AMD-Grafiktreiber spielt jetzt wieder Alarmstufe Rot

  10. Crayfis

    Smartphones sollen kosmische Strahlung erfassen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
EU-Urheberrechtsreform: Abmahnungen treffen "nur die Dummen"
EU-Urheberrechtsreform
Abmahnungen treffen "nur die Dummen"
  1. Leistungsschutzrecht EU-Kommission hält kritische Studie zurück
  2. Leistungsschutzrecht EU-Staaten uneins bei Urheberrechtsreform

Security: Das Jahr, in dem die Firmware brach
Security
Das Jahr, in dem die Firmware brach
  1. Wallet Programmierbare Kreditkarte mit ePaper, Akku und Mobilfunk
  2. Fehlalarm Falsche Raketenwarnung verunsichert Hawaii
  3. Asynchronous Ratcheting Tree Facebook demonstriert sicheren Gruppenchat für Apps

Computerforschung: Quantencomputer aus Silizium werden realistisch
Computerforschung
Quantencomputer aus Silizium werden realistisch
  1. Tangle Lake Intel zeigt 49-Qubit-Chip
  2. Die Woche im Video Alles kaputt
  3. Q# und QDK Microsoft veröffentlicht Entwicklungskit für Quantenrechner

  1. Re: Warum sollte das auch anders sein?

    becherhalter | 16:41

  2. Re: Grüner Populisten Bullshit

    Der Held vom... | 16:39

  3. Re: Muss der Mann immer lächerlich dargestellt...

    DeathMD | 16:39

  4. Re: Wozu auch..

    Lutze5111 | 16:39

  5. Re: Akkukiller

    Arsenal | 16:38


  1. 16:21

  2. 16:02

  3. 15:29

  4. 14:47

  5. 13:05

  6. 12:56

  7. 12:05

  8. 12:04


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel