PHProjekt führt fremden Code aus
Laut der Sicherheitsmeldung(öffnet im neuen Fenster) überprüft die Groupware Pfadvariablen nicht, so dass diese sich überschreiben lassen. Dies ermöglicht es Angreifern, Skripte einzubinden und diese auszuführen. Diese Skripte können beispielsweise auch auf einem anderen Server liegen, werden dann aber im Rahmen der PHProjekt-Installation ausgeführt. Betroffen sind alle Versionen der Reihe 5.1.x, jedoch keine früheren.
Die Version 5.1.2 steht bereits zum Download(öffnet im neuen Fenster) zur Verfügung und die Entwickler empfehlen dringend ein Update. Ferner sollte laut Stefan Esser vom Hardened-PHP-Projekt, der den Fehler entdeckte, auch die Sicherheitserweiterung Suhosin(öffnet im neuen Fenster) installiert werden, die Angriffe dieser Art verhindert. Durch Änderungen am PHP-Kern soll sie auch Buffer Overflows und Ähnliches abfangen.