Neue PHP-Versionen schließen Sicherheitslöcher

Der Sicherheitsspezialist Stefan Esser hat zwei Sicherheitsprobleme in PHP entdeckt und veröffentlicht. Ein Problem mit der Speicherverwaltung können Angreifer ausnutzen, um eigenen Code einzuschleusen und auszuführen. Die Funktion strip_tags() zum Entfer

2004-07-16 00:00:00 2004-07-16 00:00:00 admin

Der Sicherheitsspezialist Stefan Esser hat zwei Sicherheitsprobleme in PHP entdeckt und verÃ¶ffentlicht. Ein Problem mit der Speicherverwaltung kÃ¶nnen Angreifer ausnutzen, um eigenen Code einzuschleusen und auszufÃ¼hren. Die Funktion strip_tags() zum Entfernen von Script-Code lÃ¤sst sich austricksen. Beide Probleme sind erst in den aktuellen Versionen 4.3.8 und 5.0 behoben worden.

Wenn PHP mit einer Grenze fÃ¼r den Speicherbedarf von Skripten lÃ¤uft (memory_limit), kann ein Angreifer einen Abbruch eines Skripts an unsicheren Stellen provozieren. Das kann dazu fÃ¼hren, dass beliebiger Code auf dem PHP-System ausgefÃ¼hrt wird. Laut Esser sind alle Plattformen, auf denen PHP lÃ¤uft, verwundbar, sofern sie nicht mit nichtausfÃ¼hrbarem Stack/Heap arbeiten.

Um Cross-Site-Scripting-Angriffe zu verhindern, filtern viele Web-Entwickler Benutzereingaben mit der Funktion strip_tags(). Der Filter reagiert jedoch nicht auf Konstrukte wie <script>. Browser wie der Internet Explorer und Safari filtern dann das Zeichen '' aus dem Eingabestring und erzeugen damit ein gÃ¼ltiges Tag. Andere Browser wie Opera, Konqueror und Mozilla/Firefox zeigen kein solches Verhalten.

heise.de

Author

admin
Administrator

Profil von admin anzeigen

Sage Danke!
Du findest den Beitrag gut und möchtest Dich beim Autor bedanken? Schicke ihm einen Betrag Deiner Wahl.
Danke sagen!

`Erfahrungen`

Es sind noch keine Kommentare vorhanden.

Hier Kannst Du einen Kommentar verfassen

10 Terabyte Warez in Frankfurt am Main sichergestellt

Staatsanwaltschaft und Kriminalpolizei haben gestern eine Durchsuchung in einem Rechenzentrum in Frankfurt am Main durchgeführt. Der Betreiber einer so genannten TopSite soll auf drei Rechnern, die dort sichergestellt wurden, Filme, Spiele und Programme i ...

Autor : admin
Kategorie: Software & Web-Development

PHP-Framework Horde 3.1 verfügbar

Horde, ein PHP-basiertes Open-Source-Framework zur Erstellung von Web-Anwendungen, liegt nun in der Version 3.1 vor. Neben zahlreichen Bugfixes bringt sie auch neue Funktionen mit, etwa um die Gültigkeit von Passwörtern zu erkennen, Phishing-Versuche aufz ...

Autor : admin
Kategorie: Software & Web-Development

MySQL-Administration Script PhpMyAdmin 3.0.0 fertig

In der Version 3.0.0 bringt einiges an Erneuerungen mit. So kann PhpMyAdmin z.B. mit Storage-Engines PBXT und Maria umgehen und unterstützt eine hardwarebasierte Authentifizierung mittels SweKey. Weiter unterstützt werden partitionierte Tabellen in MySQL ...

Autor : admin
Kategorie: Software & Web-Development