Zum Hauptinhalt Zur Navigation

PHProjekt führt fremden Code aus

Neue Version 5.1.2 korrigiert den Fehler. In der freien Groupware PHProjekt ist ein Sicherheitsloch aufgetaucht, durch das Angreifer Skripte ausführen können. Eine neue Version steht bereits zum Download zur Verfügung, in der die Sicherheitslücke geschlossen wurde.
/ Julius Stiebert
9 Kommentare News folgen (öffnet im neuen Fenster)

Laut der Sicherheitsmeldung(öffnet im neuen Fenster) überprüft die Groupware Pfadvariablen nicht, so dass diese sich überschreiben lassen. Dies ermöglicht es Angreifern, Skripte einzubinden und diese auszuführen. Diese Skripte können beispielsweise auch auf einem anderen Server liegen, werden dann aber im Rahmen der PHProjekt-Installation ausgeführt. Betroffen sind alle Versionen der Reihe 5.1.x, jedoch keine früheren.

Die Version 5.1.2 steht bereits zum Download(öffnet im neuen Fenster) zur Verfügung und die Entwickler empfehlen dringend ein Update. Ferner sollte laut Stefan Esser vom Hardened-PHP-Projekt, der den Fehler entdeckte, auch die Sicherheitserweiterung Suhosin(öffnet im neuen Fenster) installiert werden, die Angriffe dieser Art verhindert. Durch Änderungen am PHP-Kern soll sie auch Buffer Overflows und Ähnliches abfangen.


Relevante Themen