В lighttpd обнаружена (http://secunia.com/advisories/26732/) возможность удаленного запуска PHP кода злоумышленника, вызванная ошибкой к коде модуля mod_fastcgi, работающего в связке с PHP. Злоумышленник может подменить данные HTTP заголовка, и через передачу SCRIPT_FILENAME запустить собственный PHP код.
Уязвимость устранена (http://www.lighttpd.net/assets/2007/9/9/lighttpd_sa_2007_12.txt) в lighttpd 1.4.18 (http://www.lighttpd.net).URL: http://secunia.com/advisories/26732/
Новость: http://www.opennet.me/opennews/art.shtml?num=11977
Кстати, это весьма актуально и для пользователей nginx, так как нередко именно эта утилита используется для связки php fcgi <=> nginx.
Не мог бы мегаэксперт озвучить имя "утилиты"? :)
>Не мог бы мегаэксперт озвучить имя "утилиты"? :)Перепутал с spawn-fcgi. Утро и недостаточно кофе выпил, вероятно.
Samm, ты что читать не умеешь? Написано про модуль lighttpd, а не про spawn-fcgi.
Ошибся. С Вами, вероятно, подобного никогда не происходит.
Это, может, уязвимость PHP, а не FastCGI?
Валите с больной головы на здоровую
Нет, на этот раз PHP ни при чём.Lighttpd is prone to a header overflow when using the mod_fastcgi extension,
this can lead to arbitrary code execution in the fastcgi application.
Терь любой кто осилил PHP может гордо звать себя мегохацкером.
Странно, что в Debian до сих пор нет обновления
>Странно, что в Debian до сих пор нет обновленияДа уж, ждемс!