Neue PHP-Versionen schließen Sicherheitslöcher

Der Sicherheitsspezialist Stefan Esser hat zwei Sicherheitsprobleme in PHP entdeckt und veröffentlicht. Ein Problem mit der Speicherverwaltung können Angreifer ausnutzen, um eigenen Code einzuschleusen und auszuführen. Die Funktion strip_tags() zum Entfer

2004-07-16 00:00:00 2004-07-16 00:00:00 admin

Der Sicherheitsspezialist Stefan Esser hat zwei Sicherheitsprobleme in PHP entdeckt und verÃ¶ffentlicht. Ein Problem mit der Speicherverwaltung kÃ¶nnen Angreifer ausnutzen, um eigenen Code einzuschleusen und auszufÃ¼hren. Die Funktion strip_tags() zum Entfernen von Script-Code lÃ¤sst sich austricksen. Beide Probleme sind erst in den aktuellen Versionen 4.3.8 und 5.0 behoben worden.

Wenn PHP mit einer Grenze fÃ¼r den Speicherbedarf von Skripten lÃ¤uft (memory_limit), kann ein Angreifer einen Abbruch eines Skripts an unsicheren Stellen provozieren. Das kann dazu fÃ¼hren, dass beliebiger Code auf dem PHP-System ausgefÃ¼hrt wird. Laut Esser sind alle Plattformen, auf denen PHP lÃ¤uft, verwundbar, sofern sie nicht mit nichtausfÃ¼hrbarem Stack/Heap arbeiten.

Um Cross-Site-Scripting-Angriffe zu verhindern, filtern viele Web-Entwickler Benutzereingaben mit der Funktion strip_tags(). Der Filter reagiert jedoch nicht auf Konstrukte wie <script>. Browser wie der Internet Explorer und Safari filtern dann das Zeichen '' aus dem Eingabestring und erzeugen damit ein gÃ¼ltiges Tag. Andere Browser wie Opera, Konqueror und Mozilla/Firefox zeigen kein solches Verhalten.

heise.de

Author

admin
Administrator

View profile of admin

Say thank you!
You like the article and want to thank the author? Send him an amount of your choice.
Say thanks!

`Ratings`

There are no comments available yet.

Here you can write a comment

WordPress 2.0.1 erschienen

Die freie Blog-Software WordPress bietet in der Version 2.0.1 einige kleinere Änderungen. Es wurden zahlreiche Fehler beseitigt und das Feedback von Nutzern umgesetzt. WordPress 2.0.1 steht unter wordpress.org ab sofort zum Download bereit. http://wo ...

Autor : admin
Category: Software & Web-Development

Erste Bücher zu PHP 5 bei Galileo Computing

Bei Galileo Computing sind die ersten Bücher zu PHP 5 erschienen. Drei Bücher und eine Schulungs-CD vermitteln alles, was man benötigt, um auf die neue Version von PHP umzusteigen. Programmierneulinge und Umsteiger werden dabei ebenso bedient wie PHP 4-Ke ...

Autor : admin
Category: Software & Web-Development