The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка  RSS
"OpenNews: Вышел PHP 4.4.1 с исправлением ошибок, связанных с..."
Вариант для распечатки Архивированная нить - только для чтения! 
Пред. тема | След. тема 
Форумы Разговоры, обсуждение новостей (Public)
Изначальное сообщение [Проследить за развитием треда]

"OpenNews: Вышел PHP 4.4.1 с исправлением ошибок, связанных с..."
Сообщение от opennews (??) on 01-Ноя-05, 20:23 
Обнаружено несколько неприятных (http://secunia.com/advisories/17371/) проблем с безопасностью в  версиях PHP ниже 4.4.1 (http://www.php.net/downloads.php#v4) и 5.0.6 (который еще не вышел).


Проблемы (http://secunia.com/advisories/17371/):
-   Возможность (http://www.securityfocus.com/bid/15250) (при register_globals=on) подмены значений в массиве "GLOBALS" через "multipart/form-data" запрос или функции extract(), import_request_variables();

-  Ошибка (http://www.securityfocus.com/bid/15249) в функции parse_str(), которая может привести к активации настройки register_globals;

-  "Cross-Site Scripting (http://online.securityfocus.com/bid/7805)" - атакующий может сформировать ссылку на скрипт с phpinfo(), подставив свой HTML код;

-  Возможность выхода за пределы директории, заданной в open_basedir и  safe_mode, через модули "ext/curl" и "ext/gd" или вызов virtual() под apache 2 SAPI;

-  Целочисленное переполнение в pcrelib;

-  Исправлено (http://www.php.net/ChangeLog-4.php#4.4.1) более 30 ошибок не касающихся безопасности.

URL: http://www.php.net
Новость: http://www.opennet.me/opennews/art.shtml?num=6358

Cообщить модератору | Наверх | ^

 Оглавление

Сообщения по теме [Сортировка по времени, UBB]


1. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от Alex (??) on 01-Ноя-05, 20:23 
Интересно, когда-же 5.1 в релиз выйдет???
Cообщить модератору | Наверх | ^

32. "Откатился на 4.3.11"
Сообщение от Otto Katz Feldkurat on 07-Ноя-05, 18:38 
На Google советуют вообще до 4.3.09

Безопасность фтопку.

Запарил сегментейшын фолт в продакшыне.

Cообщить модератору | Наверх | ^

2. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от anonim on 01-Ноя-05, 22:06 
===>  Checking if devel/php4-pear already installed
Installing PEAR environment:      /usr/local/share/pear/
tar: Error opening archive: Failed to open '/usr/ports/devel/php4-pear/work/php-4.4.1/pear/packages/XML_RPC-1.3.1.tar': No such file or directory
Cообщить модератору | Наверх | ^

3. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от mar (??) on 01-Ноя-05, 22:38 
мда, круто обновили... апач просто вешается (squirrelmail) теперь ищи бинарики, откатываться
Cообщить модератору | Наверх | ^

4. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от _Nick_ (??) on 01-Ноя-05, 23:07 
>мда, круто обновили... апач просто вешается (squirrelmail) теперь ищи бинарики, откатываться
1. бекапься
2. собирай из сырцов
Cообщить модератору | Наверх | ^

5. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от mar (??) on 01-Ноя-05, 23:26 
>1. бекапься
>2. собирай из сырцов

очень "ценные" советы, спасибо, никогда бы не додумался. как раз перед обновлением php не бэкапнулся, а по поводу сырцов - привык ставить всё из портов/портежей

Cообщить модератору | Наверх | ^

6. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от _Nick_ (??) on 01-Ноя-05, 23:31 
>очень "ценные" советы, спасибо, никогда бы не додумался. как раз перед обновлением
>php не бэкапнулся, а по поводу сырцов - привык ставить всё
>из портов/портежей
ну первое - шутка юмора. и так ясна кто умеет - тот бекапица.
про сырцы вопросов нет. сам гентушник
а вообще вот, что бывает с теми, кито юзит сырцы напрямую ;)
http://cebka.pp.ru/stuff/futbol.jpg
Cообщить модератору | Наверх | ^

8. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от неаноним email on 02-Ноя-05, 04:25 
Объясните коренное отличие портов от source code.
И вообще, хватит писать, что попало. Здесь (также) пишут люди, работающие в серьезных фирмах, а не ставящие gentoo linux "для экспериментов".
Cообщить модератору | Наверх | ^

9. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от sash (??) on 02-Ноя-05, 11:07 
> Здесь (также) пишут люди, работающие в серьезных фирмах, а не ставящие gentoo linux "для экспериментов".

Это наезд, шутка, намек????? В серьезных фирмах????? говоришь,

видал я серьезные фирмы и известные специалисты которых ТАКИЕ "кони отмачивают" на cisco/hp-ux/windows что за голову хватаешься. Не будем упоминать гос.структуры, некоторое время назад бюджет украины делали в екселе - это факт.

И не надо "gentoo linux \"для экспериментов\"" - меня буквально взбесило это высказывание.

Cообщить модератору | Наверх | ^

11. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от mar email(??) on 02-Ноя-05, 15:07 
ну дык - нынче круто звучит "я гентушник". еще круче, наверное, флеймить, где под чем бюджет делают или последовательность действий перед обновлением. а так же советовать всё ставить из сырцов (наверное набрать команду в пару строк ./configure --with-куча-всего && make install считается круто) а затем себе противоречить и кидать ссылку на "футбол в ластах" (про что и так всем известно). видимо, на ЛОРе кризис, не перед кем блестать умом, вот и повылазили.
Cообщить модератору | Наверх | ^

12. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от sash (??) on 02-Ноя-05, 16:35 
Не имеет значения "\"я гентушник\"". и у кого это круто - честно тоже не знаю. Каждый использует инструмент по потребностям и задачам.

Оратор настолько безапеляционно начал рассказывать о "серьезных фирмах" и т.д. и задело сказанное выше замечание следующим:

Когда-то когда еще не было 2.6 ядра, а gentoo только-только начинался, работал в украинском представительстве одной из российских компаний, очень немаленькой компании. А так как представительство только начиналось то собственно надо было делать все с нуля, что было очень здорово. Коротко - "Корпоративным стандартом" был MS Windows, MS exchagne, Accpacc (CRM, бухгалтерия и т.д.) Суть в следующем, тогда совместно с москвой мы построили VPN "сеть" среди представительств СНГ, репликация АД, баз ексченджа и т.д. Для меня тогда это было все в новинку, и интерестно, но больше всего хотел увидеть тот самый "production enviroment", где гудят огромное количество больших серверов, увидеть тех.спецов которые это все администрируют. И самое главное понять чем отличается то что делаю я, от того что делают они и почему они называются "професионалы".

Увидел. Познакомился. В москве. Ничего такого не делают, ничем не отличаются. Имеют бОльший опыт. Могут выдать решение задачи за приемлемый промежуток времени.

Теперь меня начинает телепать от типов которые приходят рассказывают о "серьезных фирмах", больших проектах, (был офшорный проект on-line опросов ~500 посетителей в минуту на сервер, 2-3 млн. посетителей вообщем в день, 2-3 млн. е-мейл сообщений за рассылку - интерестно это тот самый продакшн или нет? я уже запутался), и говорящих "а так ты используешь тото-тото так ты лох и тебе не место здесь".

Кста. "а затем себе противоречить и кидать ссылку на "футбол в ластах" (про что и так всем известно). видимо, на ЛОРе кризис, не перед кем блестать умом, вот и повылазили." это делал не я, и лор стараюсь не читать - а то в обед испытываешь жуткое душевное расстройство. Считаю что Максим правильно сделал убив ветку о релизе ФрииБСД 6.0 и так надо поступать впредь.

Даешь каждому инструмент по нуждам и задачам. Даешь свободу от религиозного преследования.

Cообщить модератору | Наверх | ^

14. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от _Nick_ (ok) on 02-Ноя-05, 16:50 
со вем согласен...
кроме...

>Считаю что Максим правильно сделал убив ветку о
>релизе ФрииБСД 6.0 и так надо поступать впредь.

а это что??
http://www.opennet.me/openforum/vsluhforumID3/12598.html#1

Cообщить модератору | Наверх | ^

15. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от sash (??) on 02-Ноя-05, 17:11 
Вы явно флеймитель.
Cообщить модератору | Наверх | ^

10. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от _Nick_ (ok) on 02-Ноя-05, 11:18 
>Объясните коренное отличие портов от source code.
ликбез: порт - это набор правил/скриптов/патчей для сборки и установки в систему той или иной программы по заданным параметрам с поддержкой менеджера пакетов для последующего обновления/удаления.

>И вообще, хватит писать, что попало.
прям так и что попало...
классная картинка %)

>Здесь (также) пишут люди, работающие в серьезных фирмах,
на здоровье. не думаю, что я особо мешаю своими постами кому-то другому "серьезному" высказаться. (А вообще-то, люди в серьезный фирмах РАБОТАЮТ, а не в форумах 3.14дят)

>а не ставящие gentoo linux "для экспериментов".
для начала нужно и для эксперимента поставить. Придет опыт - весь продакшн будет на генте


from sash:
>И не надо "gentoo linux \"для экспериментов\"" - меня буквально взбесило это высказывание.
да ладно. Человек решил, что он сразу может чего-то знать и юзать где угодно, не наломав дров. Без экспериметнов - он не специалист

Cообщить модератору | Наверх | ^

17. "99% софта я ставлю из сырцов."
Сообщение от Otto Katz Feldkurat on 02-Ноя-05, 20:42 
Потому что порты просто опаздывают.

Проедься по дереву и посмотри, какие версии в портах.

Кумыло ты нарежешь из порта, да? Вперёд.

Еще что?

Cообщить модератору | Наверх | ^

24. "99% софта я ставлю из сырцов."
Сообщение от _Nick_ (ok) on 03-Ноя-05, 11:20 
>Потому что порты просто опаздывают.
>Проедься по дереву и посмотри, какие версии в портах.
>Кумыло ты нарежешь из порта, да? Вперёд.
вжизни его никуда не нарежу. ни в каком виде.
кумыло - для идиотов. Добавить в нем какую-либо левую функциональность - зачастую только через патчинг. Бред, а не мыльник.

>Еще что?
Exim

Cообщить модератору | Наверх | ^

25. "99% софта я ставлю из сырцов."
Сообщение от _Nick_ (ok) on 03-Ноя-05, 11:47 
>Exim

[-= gentoo =- root 10:22:33] ~
# cd /usr/portage/mail-mta/exim/
[-= gentoo =- root 10:22:55] /usr/portage/mail-mta/exim
# l *ebuild
-rw-r--r--  1 root root 8033 Фев 21  2005 exim-4.43-r2.ebuild
-rw-r--r--  1 root root 7923 Мар  4  2005 exim-4.50.ebuild
-rw-r--r--  1 root root 7956 Авг 18 22:05 exim-4.50-r1.ebuild
-rw-r--r--  1 root root 8497 Июл 15 12:37 exim-4.50-r2.ebuild
-rw-r--r--  1 root root 7638 Июл 11 04:47 exim-4.50-r999.ebuild
-rw-r--r--  1 root root 8419 Окт  2 06:38 exim-4.52.ebuild
-rw-r--r--  1 root root 8658 Окт 28 20:35 exim-4.54.ebuild

exim.org:
Latest version: 4.54

Cообщить модератору | Наверх | ^

21. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от 1 (??) on 03-Ноя-05, 10:15 
>а вообще вот, что бывает с теми, кито юзит сырцы напрямую ;)
>http://cebka.pp.ru/stuff/futbol.jpg
да, однако бежит то он впереди :)
Cообщить модератору | Наверх | ^

23. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от _Nick_ (ok) on 03-Ноя-05, 10:21 
>>а вообще вот, что бывает с теми, кито юзит сырцы напрямую ;)
>>http://cebka.pp.ru/stuff/futbol.jpg
>да, однако бежит то он впереди :)
нет, сзади - это рпмщики %)
портовики - слева намного дальше. Ф кадр не поместились ;)
Cообщить модератору | Наверх | ^

7. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от mar (??) on 02-Ноя-05, 01:54 
определенно, в php-4.4.1 какая-то беда, squirrelmail "вешает" апача, когда пытаешся прочитать письмо с аттачментом, так же, ошибка в порту php4-pear,неправильное имя файла указано. после отката на php4-4.4.0 все работает. перед обновлением не поленитесь набрать pkg_create -b php4-4.4.0, вдруг пригодится.
Cообщить модератору | Наверх | ^

16. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от Freedom email on 02-Ноя-05, 18:22 
>определенно, в php-4.4.1 какая-то беда, squirrelmail "вешает" апача, когда пытаешся прочитать письмо
вроде нормально, apache2.0.55,  но письма не сложные.

>с аттачментом, так же, ошибка в порту php4-pear,неправильное имя файла указано.
это поправили

>после отката на php4-4.4.0 все работает. перед обновлением не поленитесь набрать
>pkg_create -b php4-4.4.0, вдруг пригодится.
удобно добавить с pkgtools.conf

Cообщить модератору | Наверх | ^

13. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от Nadorvir on 02-Ноя-05, 16:50 
Так-же стали наблюдаться куча глюков - когда скрипты вызывают инклудом или к ним идет обращение через mod_rewrite
они просто перестали работать нормально.
например: в скрипте идет открытие файла и путь не абсолютный, скрипт вызывается на прямую - то работает, если скрипт вызвать через инклуд в shtml документе - то работать не будет. нужно указать абсолютный путь до файла к которому обращается скрипт.
по этому отктились обратнона 4.4.0
Cообщить модератору | Наверх | ^

18. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от samm email on 03-Ноя-05, 09:07 
Да, релиз оказался глюкавым. Сломан apache virtal, работа с mod_rewrite... После воплей юзеров срочно откатился до 4.4.0
Cообщить модератору | Наверх | ^

19. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от Maxim Chirkov email(ok) on 03-Ноя-05, 09:32 
>Да, релиз оказался глюкавым. Сломан apache virtal, работа с mod_rewrite... После воплей
>юзеров срочно откатился до 4.4.0

Есть подозрения, что глюки проявляются только для apache 2.0, в связи с исправлением связанным с ним дыры. На хостинге с Apache 1.3.34 жалоб пока небыло.

Cообщить модератору | Наверх | ^

33. "Все хорошо - 1.3.34 "
Сообщение от Otto Katz Feldkurat on 08-Ноя-05, 00:38 
не работатет с 4.4.1

4.3.09 - последний Пых, который не дает Bus error (10) на ровном месте.

nginx и lighttpd тоже, кстати, легли на fcgi php 4.4.1

завел их только откат на 4.3.11

Cообщить модератору | Наверх | ^

34. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от Maxim Chirkov email(ok) on 09-Ноя-05, 12:53 
php 4.4.1 не жилец, вот при memory_limit 4mb всплыло несколько подобных процессов:
3363 web  265444 244440  0.4 00:06:14 /usr/local/apache/bin/httpd

Cообщить модератору | Наверх | ^

20. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от Terteron on 03-Ноя-05, 10:09 
с 1.3.33 гдюки теже.
Cообщить модератору | Наверх | ^

22. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от suslik on 03-Ноя-05, 10:18 
>Возможность (при register_globals=on) подмены
>значений в массиве "GLOBALS" через
>"multipart/form-data" запрос или функции extract(),
> import_request_variables();

Это-ж просто супер!!!
Пол интернета сломать можно :)))
...побежал пробовать

Cообщить модератору | Наверх | ^

26. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от no email on 03-Ноя-05, 14:52 
Что-то пропатчили в php.
Updating collection ports-lang/cvs
Checkout ports/lang/php4/files/patch-sapi_apache2handler_sapi_apache2.c
Cообщить модератору | Наверх | ^

27. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от odip on 04-Ноя-05, 07:48 
>Что-то пропатчили в php.
>Updating collection ports-lang/cvs
> Checkout ports/lang/php4/files/patch-sapi_apache2handler_sapi_apache2.c

В FreeBSD уже два патча наложили

http://www.freshports.org/lang/php4/

03 Nov 2005 08:17:22
Fix for apache2+mod_rewrite.

Obtained from:  PHP CVS

01 Nov 2005 21:28:01
Fix pear installation.

Spotted by:     Sean McNeil <sean@mcneil.com>

Cообщить модератору | Наверх | ^

28. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от vls email on 04-Ноя-05, 13:21 
Там даже порт php4-4.4.1_1 уже есть... но вот squirrelmail что-то всё-равно работать не захотел от этого =(
Cообщить модератору | Наверх | ^

29. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от mar (??) on 05-Ноя-05, 19:28 
у меня с php4-4.4.1_1 и 4.4.1_1 экстэншенами белка заработала, всё остальное, вроде, тоже работает, в dalbum пришлось явно указать директорию /tmp вместо $g_sTemp=ini_get("session.save_path");
Cообщить модератору | Наверх | ^

30. "Вышел PHP 4.4.1 с исправлением ошибок, связанных с безопасно..."
Сообщение от vls email on 05-Ноя-05, 22:40 
Наверное стоит рискнуть и попробовать ещё раз, php 4.4.1_1
Cообщить модератору | Наверх | ^

31. "OpenNews: Вышел PHP 4.4.1 с исправлением ошибок, связанных с..."
Сообщение от Alexander Sheiko email on 06-Ноя-05, 05:02 
Похоже, что порт пофиксили не до конца:

http://servous.se/punbb/viewtopic.php?id=280

Перестали работать ЧПУ - выдаётся пустая страница и ругань в логах :(.

Cообщить модератору | Наверх | ^

Удалить

Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру