PHP Update auf Version 4.3.7 empfohlen

[Fenchel]

Hi @ll,

habe gerade im Heise Newsticker folgendes gelesen:

Schwachstelle in PHPs Shell-Funktionen unter Windows
In der kürzlich veröffentlichten PHP-Version 4.3.7 sind zwei Fehler beseitigt, mit der es Angreifern möglich ist eigene Befehle auf verwundbaren Systemen auszuführen. Unter PHP sollen die Funktionen escapeshellarg() und escapeshellcmd() sicherstellen, dass nur gewollte Kommandos an eine Shell übergeben werden -- angehängte oder eingeschleuste zusätzliche Befehle filtern die Funktionen aus. Allerdings sind diese in der Windows-Version von PHP fehlerhaft, sodass die Filter bei einigen besonderen Zeichen (% | >) versagen. Der Entdecker der Sicherheitslücke, Daniel Fabian von sec-consult, hat in seinem Advisory ein Beispiel veröffentlicht, das das Problem veranschaulicht:

$user = escapeshellarg($_GET['user']);
$pwd = escapeshellarg($_GET['pwd']);
system("htpasswd -nb $user $pwd", $return);

htpasswd ist ein Tool zum Passwortschutz von Webseiten unter Apache für Windows. Ruft man das Tool zusammen mit den vorher in einem Formular eingegebenen Argumenten auf, so erhält der Anwender Zugriff. Gibt ein Angreifer allerdings stattdessen " || dir || ein, so reicht PHP zusätzlich den Befehl dir an die Shell weiter, die es im Kontext des Webservers ausführt. Neben system() gibt es weitere Funktionen unter PHP, die Benutzereingaben an die Shell weiterleiten können. Ein erfolgreicher Angriff setzt aber ein PHP-Skript voraus, das die fehlerhaften Funktionen enthält. Fabian bestätigt die Lücke für PHP 4.3.3 und 4.3.5.

[QCO]

Ähhh... danke. Aber ich lese selbst heise. Und raus ist die 4.3.7 auch schon seit 6 Tagen. Und die Schwachstelle betrifft phpbb nicht, weil sie wie gesagt nur kritisch ist, wenn die fehlerhafte Funktion auch verwendet wird. Und die Webhoster, die die meisten Foren hier hosten, updaten auch nicht alle drei Tage ihre Server.

Will sagen: Wenn du Posts brauchst, kannst du in Smalltalk spammen.

[Fenchel]

Das du das schöne Zitat von Thomas Alva Edison zu deiner persönlichen Verarbeitung von Informationen nutzt konnte ich ja nicht wissen.
Bin davon ausgegangen, das alle im Forum des lesens und der Verarbeitung von Infos mächtig sind.

Aber dank deines Kommentars wissen wir nun alle wie lange es die neu PHP Version gibt.

[Jensemann]

Und die Webhoster, die die meisten Foren hier hosten, updaten auch nicht alle drei Tage ihre Server.

Die meisten billig Hoster verwenden auch kein Windows.

Ausserdem ist diese Lücke eher für die sicherheit des webs relevant, nicht die des Servers, sowas wird bei den meisten Hostern gerne ignoriert, sind ja nur zahlende Kunden ...

[Programmer]

Und die Webhoster, die die meisten Foren hier hosten, updaten auch nicht alle drei Tage ihre Server.

Die meisten billig Hoster verwenden auch kein Windows.

Ausserdem ist diese Lücke eher für die sicherheit des webs relevant, nicht die des Servers, sowas wird bei den meisten Hostern gerne ignoriert, sind ja nur zahlende Kunden ...

Ähm.. ich würde aus Sicherheitsgründen nie Windows hosten lassen.
Das hat mit Billiganbietern nix zu tun.

Die sind deswegen auch nur billg, weil Linux nix kostet.
Eine Windows-Server Lizenz ... No Comment...

[Jensemann]

Ähm.. ich würde aus Sicherheitsgründen nie Windows hosten lassen.
Das hat mit Billiganbietern nix zu tun.

Ich habe nirgendwo gesagt das Windows für qualitätshosting besser geeignet ist, oder wie soll ich deinen Kommentar verstehen?