Neue PHP-Versionen schließen Sicherheitslöcher

Der Sicherheitsspezialist Stefan Esser hat zwei Sicherheitsprobleme in PHP entdeckt und veröffentlicht. Ein Problem mit der Speicherverwaltung können Angreifer ausnutzen, um eigenen Code einzuschleusen und auszuführen. Die Funktion strip_tags() zum Entfer

Der Sicherheitsspezialist Stefan Esser hat zwei Sicherheitsprobleme in PHP entdeckt und veröffentlicht. Ein Problem mit der Speicherverwaltung können Angreifer ausnutzen, um eigenen Code einzuschleusen und auszuführen. Die Funktion strip_tags() zum Entfernen von Script-Code lässt sich austricksen. Beide Probleme sind erst in den aktuellen Versionen 4.3.8 und 5.0 behoben worden.

Wenn PHP mit einer Grenze für den Speicherbedarf von Skripten läuft (memory_limit), kann ein Angreifer einen Abbruch eines Skripts an unsicheren Stellen provozieren. Das kann dazu führen, dass beliebiger Code auf dem PHP-System ausgeführt wird. Laut Esser sind alle Plattformen, auf denen PHP läuft, verwundbar, sofern sie nicht mit nichtausführbarem Stack/Heap arbeiten.

Um Cross-Site-Scripting-Angriffe zu verhindern, filtern viele Web-Entwickler Benutzereingaben mit der Funktion strip_tags(). Der Filter reagiert jedoch nicht auf Konstrukte wie <script>. Browser wie der Internet Explorer und Safari filtern dann das Zeichen '' aus dem Eingabestring und erzeugen damit ein gültiges Tag. Andere Browser wie Opera, Konqueror und Mozilla/Firefox zeigen kein solches Verhalten.

heise.de
Author

Ratings

There are no comments available yet.

Here you can write a comment


Please enter at least 10 characters.
Loading... Please wait.
* Pflichtangabe

Related topics

Sencha Touch HTML5-Framework für iOS und Android

Mit dem Framework Sencha Touch lassen sich schnell Webapplikationen für mobile Endgeräte entwickeln. ...

admin

Autor : admin
Category: Miscellaneous

Websicherheit: Sind SSL-Zertifikate der Schritt zu mehr Sicherheit?

Das Internet ist für viele nicht mehr aus dem Alltag wegzudenken. Ob Shoppen, Urlaubsreisen buchen, oder Bankgeschäfte abwickeln: inzwischen können viele wichtige Dinge über das Internet abgewickelt werden. ...

admin

Autor : admin
Category: Miscellaneous

Das Samsung Galaxy Tab - Android-2.2-Tablet auf der Ifa 2010

In der offiziellen Vorschauvideo des Samsungs Android-Tablet Galaxy Tab werden einige der verfügbaren Funktionen gezeigt. ...

admin

Autor : admin
Category: Miscellaneous

PHP 7.0 Beta 1 veröffentlicht

Mit der PHP Version 7.0 b1 wurde die dritte Vorabversion der neuen PHP 7 Serie veröffentlicht. ...

admin

Autor : admin
Category: Software & Web-Development

2008 kommt das aus für PHP 4

Die Version PHP 4 wird 2008 ihr Ende finden. Ab 31. Dez. 2007 werden alle Arbeiten an PHP 4 eingestellt. In Zukunft wollen die Entwickler sich nur noch auf die Version PHP 5 konzentrieren. Wer also noch nicht auf PHP 5 umgestiegen ist, sollte es schne ...

admin

Autor : admin
Category: Software & Web-Development

PHPStan supports PHP 8.2

PHPStan supports PHP 8.2

PHPStan is a static code analysis tool for PHP and now supports PHP up to version 8.2 ...

admin

Autor : admin
Category: Software-Updates

Frase AI hilft Ihnen, hochwertige SEO-Inhalte in Minuten statt in Stunden zu recherchieren
Boston, USA

Publish a press release

Share your news and information

Share your news and information with others

You want to inform other users about an interesting IT topic, then sign up now and share it with our PHP community

learn more

Publish a press release