The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасностью.

01.11.2005 17:02

Обнаружено несколько неприятных проблем с безопасностью в версиях PHP ниже 4.4.1 и 5.0.6 (который еще не вышел).

Проблемы:

  • Возможность (при register_globals=on) подмены значений в массиве "GLOBALS" через "multipart/form-data" запрос или функции extract(), import_request_variables();
  • Ошибка в функции parse_str(), которая может привести к активации настройки register_globals;
  • "Cross-Site Scripting" - атакующий может сформировать ссылку на скрипт с phpinfo(), подставив свой HTML код;
  • Возможность выхода за пределы директории, заданной в open_basedir и safe_mode, через модули "ext/curl" и "ext/gd" или вызов virtual() под apache 2 SAPI;
  • Целочисленное переполнение в pcrelib;
  • Исправлено более 30 ошибок не касающихся безопасности.

    1. Главная ссылка к новости (http://www.php.net...)
    2. ChangeLog
    3. PHP File Upload GLOBAL Variable Overwrite Vulnerability
    4. PHP Parse_Str Register_Globals Activation Weakness
    5. PHP PHPInfo Cross-Site Scripting Vulnerability
    6. PHP Open_BaseDir Security Restriction Bypass Vulnerability
    Лицензия: CC BY 3.0
    Короткая ссылка: https://opennet.ru/6358-php
    Ключевые слова: php
    При перепечатке указание ссылки на opennet.ru обязательно


    Обсуждение (34) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Alex (??), 20:23, 01/11/2005 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Интересно, когда-же 5.1 в релиз выйдет???
     
     
  • 2.32, Otto Katz Feldkurat (?), 18:38, 07/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    На Google советуют вообще до 4.3.09

    Безопасность фтопку.

    Запарил сегментейшын фолт в продакшыне.

     

  • 1.2, anonim (?), 22:06, 01/11/2005 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    ===>  Checking if devel/php4-pear already installed
    Installing PEAR environment:      /usr/local/share/pear/
    tar: Error opening archive: Failed to open '/usr/ports/devel/php4-pear/work/php-4.4.1/pear/packages/XML_RPC-1.3.1.tar': No such file or directory
     
  • 1.3, mar (??), 22:38, 01/11/2005 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    мда, круто обновили... апач просто вешается (squirrelmail) теперь ищи бинарики, откатываться
     
     
  • 2.4, _Nick_ (??), 23:07, 01/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    >мда, круто обновили... апач просто вешается (squirrelmail) теперь ищи бинарики, откатываться
    1. бекапься
    2. собирай из сырцов
     

  • 1.5, mar (??), 23:26, 01/11/2005 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >1. бекапься
    >2. собирай из сырцов

    очень "ценные" советы, спасибо, никогда бы не додумался. как раз перед обновлением php не бэкапнулся, а по поводу сырцов - привык ставить всё из портов/портежей

     
     
  • 2.6, _Nick_ (??), 23:31, 01/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    >очень "ценные" советы, спасибо, никогда бы не додумался. как раз перед обновлением
    >php не бэкапнулся, а по поводу сырцов - привык ставить всё
    >из портов/портежей
    ну первое - шутка юмора. и так ясна кто умеет - тот бекапица.
    про сырцы вопросов нет. сам гентушник
    а вообще вот, что бывает с теми, кито юзит сырцы напрямую ;)
    http://cebka.pp.ru/stuff/futbol.jpg
     
     
  • 3.8, неаноним (?), 04:25, 02/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    Объясните коренное отличие портов от source code.
    И вообще, хватит писать, что попало. Здесь (также) пишут люди, работающие в серьезных фирмах, а не ставящие gentoo linux "для экспериментов".
     
     
  • 4.9, sash (??), 11:07, 02/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    > Здесь (также) пишут люди, работающие в серьезных фирмах, а не ставящие gentoo linux "для экспериментов".

    Это наезд, шутка, намек????? В серьезных фирмах????? говоришь,

    видал я серьезные фирмы и известные специалисты которых ТАКИЕ "кони отмачивают" на cisco/hp-ux/windows что за голову хватаешься. Не будем упоминать гос.структуры, некоторое время назад бюджет украины делали в екселе - это факт.

    И не надо "gentoo linux \"для экспериментов\"" - меня буквально взбесило это высказывание.

     
     
  • 5.11, mar (??), 15:07, 02/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    ну дык - нынче круто звучит "я гентушник". еще круче, наверное, флеймить, где под чем бюджет делают или последовательность действий перед обновлением. а так же советовать всё ставить из сырцов (наверное набрать команду в пару строк ./configure --with-куча-всего && make install считается круто) а затем себе противоречить и кидать ссылку на "футбол в ластах" (про что и так всем известно). видимо, на ЛОРе кризис, не перед кем блестать умом, вот и повылазили.
     
     
  • 6.12, sash (??), 16:35, 02/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    Не имеет значения я гентушник и у кого это круто - честно тоже не знаю К... большой текст свёрнут, показать
     
     
  • 7.14, _Nick_ (ok), 16:50, 02/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    со вем согласен...
    кроме...

    >Считаю что Максим правильно сделал убив ветку о
    >релизе ФрииБСД 6.0 и так надо поступать впредь.

    а это что??
    http://www.opennet.me/openforum/vsluhforumID3/12598.html#1

     
     
  • 8.15, sash (??), 17:11, 02/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    Вы явно флеймитель ... текст свёрнут, показать
     
  • 4.10, _Nick_ (ok), 11:18, 02/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    >Объясните коренное отличие портов от source code.
    ликбез: порт - это набор правил/скриптов/патчей для сборки и установки в систему той или иной программы по заданным параметрам с поддержкой менеджера пакетов для последующего обновления/удаления.

    >И вообще, хватит писать, что попало.
    прям так и что попало...
    классная картинка %)

    >Здесь (также) пишут люди, работающие в серьезных фирмах,
    на здоровье. не думаю, что я особо мешаю своими постами кому-то другому "серьезному" высказаться. (А вообще-то, люди в серьезный фирмах РАБОТАЮТ, а не в форумах 3.14дят)

    >а не ставящие gentoo linux "для экспериментов".
    для начала нужно и для эксперимента поставить. Придет опыт - весь продакшн будет на генте


    from sash:
    >И не надо "gentoo linux \"для экспериментов\"" - меня буквально взбесило это высказывание.
    да ладно. Человек решил, что он сразу может чего-то знать и юзать где угодно, не наломав дров. Без экспериметнов - он не специалист

     
  • 3.17, Otto Katz Feldkurat (?), 20:42, 02/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    Потому что порты просто опаздывают.

    Проедься по дереву и посмотри, какие версии в портах.

    Кумыло ты нарежешь из порта, да? Вперёд.

    Еще что?

     
     
  • 4.24, _Nick_ (ok), 11:20, 03/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    >Потому что порты просто опаздывают.
    >Проедься по дереву и посмотри, какие версии в портах.
    >Кумыло ты нарежешь из порта, да? Вперёд.
    вжизни его никуда не нарежу. ни в каком виде.
    кумыло - для идиотов. Добавить в нем какую-либо левую функциональность - зачастую только через патчинг. Бред, а не мыльник.

    >Еще что?
    Exim

     
     
  • 5.25, _Nick_ (ok), 11:47, 03/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    >Exim

    [-= gentoo =- root 10:22:33] ~
    # cd /usr/portage/mail-mta/exim/
    [-= gentoo =- root 10:22:55] /usr/portage/mail-mta/exim
    # l *ebuild
    -rw-r--r--  1 root root 8033 Фев 21  2005 exim-4.43-r2.ebuild
    -rw-r--r--  1 root root 7923 Мар  4  2005 exim-4.50.ebuild
    -rw-r--r--  1 root root 7956 Авг 18 22:05 exim-4.50-r1.ebuild
    -rw-r--r--  1 root root 8497 Июл 15 12:37 exim-4.50-r2.ebuild
    -rw-r--r--  1 root root 7638 Июл 11 04:47 exim-4.50-r999.ebuild
    -rw-r--r--  1 root root 8419 Окт  2 06:38 exim-4.52.ebuild
    -rw-r--r--  1 root root 8658 Окт 28 20:35 exim-4.54.ebuild

    exim.org:
    Latest version: 4.54

     
  • 3.21, 1 (??), 10:15, 03/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    >а вообще вот, что бывает с теми, кито юзит сырцы напрямую ;)
    >http://cebka.pp.ru/stuff/futbol.jpg
    да, однако бежит то он впереди :)
     
     
  • 4.23, _Nick_ (ok), 10:21, 03/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    >>а вообще вот, что бывает с теми, кито юзит сырцы напрямую ;)
    >>http://cebka.pp.ru/stuff/futbol.jpg
    >да, однако бежит то он впереди :)
    нет, сзади - это рпмщики %)
    портовики - слева намного дальше. Ф кадр не поместились ;)
     

  • 1.7, mar (??), 01:54, 02/11/2005 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    определенно, в php-4.4.1 какая-то беда, squirrelmail "вешает" апача, когда пытаешся прочитать письмо с аттачментом, так же, ошибка в порту php4-pear,неправильное имя файла указано. после отката на php4-4.4.0 все работает. перед обновлением не поленитесь набрать pkg_create -b php4-4.4.0, вдруг пригодится.
     
     
  • 2.16, Freedom (?), 18:22, 02/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    >определенно, в php-4.4.1 какая-то беда, squirrelmail "вешает" апача, когда пытаешся прочитать письмо
    вроде нормально, apache2.0.55,  но письма не сложные.

    >с аттачментом, так же, ошибка в порту php4-pear,неправильное имя файла указано.
    это поправили

    >после отката на php4-4.4.0 все работает. перед обновлением не поленитесь набрать
    >pkg_create -b php4-4.4.0, вдруг пригодится.
    удобно добавить с pkgtools.conf

     

  • 1.13, Nadorvir (?), 16:50, 02/11/2005 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Так-же стали наблюдаться куча глюков - когда скрипты вызывают инклудом или к ним идет обращение через mod_rewrite
    они просто перестали работать нормально.
    например: в скрипте идет открытие файла и путь не абсолютный, скрипт вызывается на прямую - то работает, если скрипт вызвать через инклуд в shtml документе - то работать не будет. нужно указать абсолютный путь до файла к которому обращается скрипт.
    по этому отктились обратнона 4.4.0
     
  • 1.18, samm (?), 09:07, 03/11/2005 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Да, релиз оказался глюкавым. Сломан apache virtal, работа с mod_rewrite... После воплей юзеров срочно откатился до 4.4.0
     
     
  • 2.19, Maxim Chirkov (ok), 09:32, 03/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    >Да, релиз оказался глюкавым. Сломан apache virtal, работа с mod_rewrite... После воплей
    >юзеров срочно откатился до 4.4.0

    Есть подозрения, что глюки проявляются только для apache 2.0, в связи с исправлением связанным с ним дыры. На хостинге с Apache 1.3.34 жалоб пока небыло.

     
     
  • 3.33, Otto Katz Feldkurat (?), 00:38, 08/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    не работатет с 4.4.1

    4.3.09 - последний Пых, который не дает Bus error (10) на ровном месте.

    nginx и lighttpd тоже, кстати, легли на fcgi php 4.4.1

    завел их только откат на 4.3.11

     
  • 3.34, Maxim Chirkov (ok), 12:53, 09/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    php 4.4.1 не жилец, вот при memory_limit 4mb всплыло несколько подобных процессов:
    3363 web  265444 244440  0.4 00:06:14 /usr/local/apache/bin/httpd

     

  • 1.20, Terteron (?), 10:09, 03/11/2005 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    с 1.3.33 гдюки теже.
     
  • 1.22, suslik (?), 10:18, 03/11/2005 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >Возможность (при register_globals=on) подмены
    >значений в массиве "GLOBALS" через
    >"multipart/form-data" запрос или функции extract(),
    > import_request_variables();

    Это-ж просто супер!!!
    Пол интернета сломать можно :)))
    ...побежал пробовать

     
  • 1.26, no (?), 14:52, 03/11/2005 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Что-то пропатчили в php.
    Updating collection ports-lang/cvs
    Checkout ports/lang/php4/files/patch-sapi_apache2handler_sapi_apache2.c
     
     
  • 2.27, odip (?), 07:48, 04/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    >Что-то пропатчили в php.
    >Updating collection ports-lang/cvs
    > Checkout ports/lang/php4/files/patch-sapi_apache2handler_sapi_apache2.c

    В FreeBSD уже два патча наложили

    http://www.freshports.org/lang/php4/

    03 Nov 2005 08:17:22
    Fix for apache2+mod_rewrite.

    Obtained from:  PHP CVS

    01 Nov 2005 21:28:01
    Fix pear installation.

    Spotted by:     Sean McNeil <sean@mcneil.com>

     

  • 1.28, vls (?), 13:21, 04/11/2005 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Там даже порт php4-4.4.1_1 уже есть... но вот squirrelmail что-то всё-равно работать не захотел от этого =(
     
     
  • 2.29, mar (??), 19:28, 05/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    у меня с php4-4.4.1_1 и 4.4.1_1 экстэншенами белка заработала, всё остальное, вроде, тоже работает, в dalbum пришлось явно указать директорию /tmp вместо $g_sTemp=ini_get("session.save_path");
     
     
  • 3.30, vls (?), 22:40, 05/11/2005 [^] [^^] [^^^] [ответить]  
  • +/
    Наверное стоит рискнуть и попробовать ещё раз, php 4.4.1_1
     

  • 1.31, Alexander Sheiko (?), 05:02, 06/11/2005 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Похоже, что порт пофиксили не до конца:

    http://servous.se/punbb/viewtopic.php?id=280

    Перестали работать ЧПУ - выдаётся пустая страница и ругань в логах :(.

     
     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру