PHP 5.2.1 schließt Sicherheitslücken

Stefan Esser ruft den "Month of PHP bugs" aus

Die PHP-Entwickler schließen mit PHP 5.2.1 einige Sicherheitslücken in der freien Scriptsprache. Zudem wurde die Stabilität verbessert. Derweil ruft Sicherheitsexperte Stefan Esser, der sich Ende 2006 aus dem PHP Security Response Team verabschiedete, für März den "Month of PHP bugs" aus, in dem er jeden Tag eine Sicherheitslücke in PHP veröffentlichen will.

Artikel veröffentlicht am ,

In PHP 5.2.1 wurde unter anderem ein Fehler beseitigt, der es erlaubt, "safe_mode" und "open_basedir" innerhalb der Session-Erweiterung zu umgehen. Zudem sollen Suchmaschinen nun davon abgehalten werden, die phpinfo()-Seite zu indexieren. Zudem haben sich die Entwickler um mögliche Pufferüberläufe gekümmert, z.B. in der Session- und Zip-, IMAP- und SQLite-Erweiterung.

Stellenmarkt
  1. Service Administrator IT-Support (m/w/d)
    BUCS IT GmbH, Wuppertal
  2. (Junior) IT Consultant / Unternehmensberater (w/m/d)
    UCG United Consulting Group GmbH, Frankfurt am Main
Detailsuche

Die Zahl der Fixes ist lang, die meisten der Fehler seien aber nur lokal auszunutzen, heißt es in der Ankündigung von PHP 5.2.1. Einige können aber auch aus der Ferne genutzt werden. Daher raten die Entwickler dringend zu einem Update auf PHP 5.2.1. Für PHP 4.4 soll in Kürze ebenfalls ein entsprechendes Update mit der Version 4.4.5 folgen.

Die Informationspolitik des PHP-Teams in Sicherheitsfragen kritisiert derweil der Sicherheitsexperte Stefan Esser. Die Informationen der PHP-Entwickler zu den beseitigten Bugs seien wie üblich recht knapp, teilweise falsch und an manchen Stellen würden die entsprechenden Hinweise auch einfach fehlen. Zudem werde die Gefährlichkeit heruntergespielt.

Esser hat selbst zahlreiche Sicherheitslücken in PHP aufgedeckt und war bis Ende 2006 selbst im Rahmen des PHP Security Response Team an der Entwicklung von PHP beteiligt. In seinem aktuellen Blog-Eintrag gibt Esser einige Hinweise, warum er dem Projekt den Rücken kehrte: Es werde an keiner Stelle erwähnt, dass die entsprechenden Bugs von Dritten entdeckt wurden, was es für Sicherheitsexperten wenig attraktiv mache, sich an der Suche nach Sicherheitslücken in PHP zu beteiligen. Man habe mehr davon, Sicherheitslücken für sich selbst zu behalten oder an Dritte zu verkaufen, statt sie den Entwicklern zu melden.

Als Konsequenz daraus ruft Esser den März 2007 zum "Month of PHP bugs" aus, in dem er jeden Tag eine Sicherheitslücke veröffentlichen will. Dabei will er auch zeigen, dass die Heap-Sicherung in PHP 5.2.1 die Ausnutzung vieler Sicherheitslücken nicht verhindere - anders als der von ihm mitentwickelte Suhosin-Patch, mit dem sich PHP absichern lässt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Thinkpad X1 Extreme Gen 4 im Test
Das beste Notebook in 16 Zoll kommt von Lenovo

Kaum ein Thinkpad hat ein besseres Panel verbaut als das X1 Extreme. Auch generell ist es ein sehr gutes Gerät - wenn Geld keine Rolle spielt.
Ein Test von Oliver Nickel

Thinkpad X1 Extreme Gen 4 im Test: Das beste Notebook in 16 Zoll kommt von Lenovo
Artikel
  1. Geekbench & GFXBench: Erste Benchmarks zeigen starken Apple M1 Max
    Geekbench & GFXBench
    Erste Benchmarks zeigen starken Apple M1 Max

    Das Apple Silicon schneidet gut ab: Der M1 Max legt sich tatsächlich mit einer Geforce RTX 3080 Mobile und den schnellsten Laptop-CPUs an.

  2. BSI-Lagebericht: Ransomware entwickelt sich zur größten Bedrohung
    BSI-Lagebericht
    Ransomware entwickelt "sich zur größten Bedrohung"

    Laut BSI gibt es immer mehr und auch ausgefallenere Ransomware-Angriffe. Sicherheitsforscher arbeiten derweil kaum mit dem BSI zusammen.

  3. Microsoft: Android-Apps laufen jetzt auf Windows 11
    Microsoft
    Android-Apps laufen jetzt auf Windows 11

    Microsoft hat das Windows Subsystem für Android offiziell vorgestellt. Vorerst läuft die Technik aber nur in den USA.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • PS5 & Xbox Series X bestellbar • HP Herbst Sale bei NBB: Bis zu 500€ Rabatt auf Gaming-Notebooks, Monitore uvm. • Kingston RGB 32GB Kit 3200 116,90€ • LG OLED48A19LA 756,29€ • Nur noch heute: GP Anniversary Sale • Amazon Music Unltd. 3 Monate gratis • Gutscheinheft bei Saturn [Werbung]
    •  /