PHP heeft een update uitgebracht waarin twee kritische problemen worden opgelost. PHP is de gratis opensource-scripttaal die met behulp van webserver-software (meestal Apache) werkt. PHP maakt het mogelijk dynamische websites te maken en wordt steeds vaker toegepast.
<img src="http://upload.userbase.be/upload/php.gif" align="left" width="120" height="67"> Er zijn twee beveiligingslekken ontdekt die zijn opgelost in nieuwe versies van het product. Gebruikers van de versies PHP 4.3.7 of lager en PHP 5.0.0CR3 wordt geadviseerd de laatste versies van deze producten installeren. De twee kwetsbaarheden hebben elk hun eigen gevolgen. Een van de kwetsbaarheden maakt het mogelijk om willekeurige code uit te voeren op het systeem waar PHP draait. De andere kwetsbaarheid kan worden uitgebuit als er een verbinding naar de webserver wordt gemaakt met de Internet Explorer of Safari webbrowser. Doordat deze twee browsers bepaalde foutief ingevoerde URL's negeren kan dit een aanval naar de webserver veroorzaken.
Korte beschrijving van de kwetsbaarheden:
PHP memory_limit kwetsbaarheid: In de configuratie van PHP bestaat de setting memory_limit. Deze setting bepaalt hoeveel geheugen een script maximaal mag gebruiken. Zo kan worden voorkomen dat een slecht geschreven script al het geheugen van de server opslokt. De waarde van deze setting wordt bepaald in bytes. Wanneer u gebruik maakt van deze setting, bent u vatbaar voor een fout in PHP waardoor willekeurige code op het systeem kan worden uitgevoerd.
PHP "Strip_tags()" kwetsbaarheid:
Binnen PHP is een functie ingebouwd die het mogelijk maakt om foutieve HTML en PHP tags van een string af te halen. Zo kan cross-site scripting worden voorkomen. Met extra parameters in een string kan ook worden opgegeven welke tags niet moeten worden verwijderd. Door een fout in PHP kan een gebruiker, door extra parameters op te geven, gevaarlijk tags meesturen, die door de Strip_tags functie worden genegeerd. Hierdoor wordt een cross-site scripting attack mogelijk. Normaal gesproken worden gevaarlijke tags door de browser al afgevangen, echter blijkt dat Internet Explorer en Safari over een "functionaliteit" beschikken die deze gevaarlijk tags gewoon accepteert. Deze browsers kunnen dus een cross-site scripting attack starten.
Bron: Computable
