Neue PHP-Versionen schließen Sicherheitslöcher

Der Sicherheitsspezialist Stefan Esser hat zwei Sicherheitsprobleme in PHP entdeckt und veröffentlicht. Ein Problem mit der Speicherverwaltung können Angreifer ausnutzen, um eigenen Code einzuschleusen und auszuführen. Die Funktion strip_tags() zum Entfer

Der Sicherheitsspezialist Stefan Esser hat zwei Sicherheitsprobleme in PHP entdeckt und veröffentlicht. Ein Problem mit der Speicherverwaltung können Angreifer ausnutzen, um eigenen Code einzuschleusen und auszuführen. Die Funktion strip_tags() zum Entfernen von Script-Code lässt sich austricksen. Beide Probleme sind erst in den aktuellen Versionen 4.3.8 und 5.0 behoben worden.

Wenn PHP mit einer Grenze für den Speicherbedarf von Skripten läuft (memory_limit), kann ein Angreifer einen Abbruch eines Skripts an unsicheren Stellen provozieren. Das kann dazu führen, dass beliebiger Code auf dem PHP-System ausgeführt wird. Laut Esser sind alle Plattformen, auf denen PHP läuft, verwundbar, sofern sie nicht mit nichtausführbarem Stack/Heap arbeiten.

Um Cross-Site-Scripting-Angriffe zu verhindern, filtern viele Web-Entwickler Benutzereingaben mit der Funktion strip_tags(). Der Filter reagiert jedoch nicht auf Konstrukte wie <script>. Browser wie der Internet Explorer und Safari filtern dann das Zeichen '' aus dem Eingabestring und erzeugen damit ein gültiges Tag. Andere Browser wie Opera, Konqueror und Mozilla/Firefox zeigen kein solches Verhalten.

heise.de
Author

Erfahrungen

Es sind noch keine Kommentare vorhanden.

Hier Kannst Du einen Kommentar verfassen


Bitte gib mindestens 10 Zeichen ein.
Wird geladen... Bitte warte.
* Pflichtangabe

Verwandte Beiträge

PHP Summit – Spring

Vom 21 bis 23. März 2011 präsentiert das PHP Magazin und die Entwickler Akademie den nächsten PHP Summit ...

admin

Autor : admin
Kategorie: Software & Web-Development

CIA befürchtet Angriffe aus dem Internet

Der US-Geheimdienst CIA befürchtet Cyber-Angriffe Russlands und Chinas auf die USA. Nach seinen Erkenntissen würden diese Staaten Software entwickeln, die der US-Ökonomie substantiell schaden könnte, erklärte Lawrence Gershwin, CIA-Verantwortlicher für di ...

admin

Autor : admin
Kategorie: Software & Web-Development

phpMyAdmin 2.2.0rc2

Die Version von phpMyAdmin ist als Release Candidate 2 verfügbar. Optische sowie eine vereinfachte Bedinungen sind eininge der neuen Features. http://phpmyadmin.sourceforge.net/download.html ...

admin

Autor : admin
Kategorie: Software & Web-Development

Microsoft gesteht Fehler in IIS5 ein

Microsoft gesteht wieder einen Fehler, den sie gemacht haben. Betroffen ist das Server-Programm Internet Information Server 5, das von Microsoft ausgeliefert wurde. Wenn die Software überlastet ist, dann öffnen sich die Sicherheitslücken und der Ha ...

admin

Autor : admin
Kategorie: Software & Web-Development

Deutsche Version von Netscape 6.2.2 erhältlich

Vorerst nur Versionen für Windows und Linux verfügbar; keine MacOS-Fassung Ab sofort steht auch die deutschsprachige Version 6.2.2 von Netscape für die Plattformen Windows und Linux kostenlos zum Download bereit, nachdem die englische Version bere ...

admin

Autor : admin
Kategorie: Software & Web-Development

PHP 4.3.2RC3 veröffentlicht

Dies ist das dritte und letzte Release und sollte keine kritischen Bugs und Probleme mit sich bringen. Download unter http://qa.php.net/ ...

admin

Autor : admin
Kategorie: Software & Web-Development

Wir entwickeln seit über 20 Jahren Web & E-Commerce Anwendungen
Egelsbach, Deutschland

Pressemitteilung veröffentlichen

pressemitteilung veröffentlichen

Teile Deine News und Informationen mit anderen

Du möchtest andere User über ein interessantes IT-Thema informieren, dann melde Dich jetzt an und teile es mit unserer PHP-Community

mehr erfahren

Angebot eintragen