Kritische Sicherheitslücke: PHP 5.3.9 schleust Code über das Netzwerk ein
Über einen schweren Fehler(öffnet im neuen Fenster) in der Skriptsprache PHP 5.3.9 lässt sich auch über das Netzwerk Code einschleusen und und ausführen. Ein Patch(öffnet im neuen Fenster) ist in der Entwicklerversion von PHP bereits eingeflossen, steht aber in der stabilen Version noch aus. Zunächst wird eine reparierte Version über die Snapshot-Server snaps.php.net(öffnet im neuen Fenster) und windows.php.net(öffnet im neuen Fenster) zur Verfügung gestellt. Ob der Bug auch in älteren Versionen behoben wird ist ebenfalls unklar. Bislang gibt es noch keine offizielle Beschreibung vom PHP-Team. Ein Workaround ist ebenfalls noch nicht bekannt.
Die Lücke entstand durch einen Patch, der eine weitere Sicherheitslücke schließen sollte , die Denial-of-Service-Angriffe über Hash-Kollisionen verhindert. Um solche DoS-Angriffe zu verhindern, wurde der Wert von max_input_vars in php_variables.c auf 100 herabgesetzt. Allerdings schlich sich bei der Implementierung dann der aktuelle Fehler ein.
Die Sicherheitserweiterung Suhosin soll von der Lücke nicht betroffen sein. Der Suhosin-Patch bietet weniger Sicherheit. Laut Suhosin-Entwickler Stefan Esser(öffnet im neuen Fenster) kann vorübergehend die Variable max_input_vars auf einen hohen Wert gesetzt werden, etwa 1 Milliarde. Dann sei PHP wieder anfällig für DoS-Angriffe, könne aber nicht durch Schadcode kompromittiert werden.
Update vom 2. Februar 2012, 10:00 Uhr
Inzwischen hat das PHP-Team den Fehler behoben und das Update 5.3.10(öffnet im neuen Fenster) veröffentlicht. Reparierte Version der Skriptsprache sind bereits in einigen Repositories verfügbar, darunter für Red Hat Enterprise Linux 4, 5 und 6(öffnet im neuen Fenster) , Fedora(öffnet im neuen Fenster) sowie Debian(öffnet im neuen Fenster) .