Forum

Moderiert von:
Forum Index
Off Topic
     Allgemeines
     PHP-CGI Sicherheitslücke
Hilfe anzeigen
Hilfe anzeigen

Autor Druckerfreundliche DarstellungPHP-CGI Sicherheitslücke
Gast
Unregistrierter Benutzer
Geschrieben: 04.05.2012 08:37

Hallo,
habe von meinem Provider heute folgendes Mail erhalten:
Sehr geehrte ALL-INKL.COM - Kundin,
Sehr geehrter ALL-INKL.COM - Kunde,

die gerade in PHP entdeckte Sicherheitslücke zwang uns alle Aufrufe,
welche ?-s enthalten, zu unterbinden. Betroffen sind alle Accounts in
welchen PHP5 im CGI-Modus ausgeführt wird. Mit einem solchen Aufruf
wurden die PHP-Dateien im Quellcode angezeigt, es war somit durchaus
möglich z.B. Zugangsdaten zu Datenbanken auszulesen.

Sofern Sie PHP5 als CGI-Modul nutzen empfehlen wir Ihnen dringend, die
in den Scripten verwendeten Zugangsdaten zu ändern.
Ob Ihre Domain Aufrufe dieser Art hatte, können Sie nach Erstellung der
Statistiken (gegen 1Uhr) ihren Accesslogs entnehmen.

Sobald ein entsprechender Patch zur Verfügung steht werden wir diesen
in die PHP-Versionen einpflegen.

Siehe auch:
http://www.heise.de/newsticker/meldung/Gefahr-durch-offene-PHP-Luecke-1567433.html
---------------------------------------------------------------------------

Ist da OPN auch von betroffen?

Besten Dank,
Boby
[addsig]

Zitieren Druckerfreundliche Darstellung nach oben
stefan
Beiträge: 2435
Wohnort: Münster


Sende eine Private Nachricht an stefan
ICQ
Geschrieben: 05.05.2012 20:49

Das ist nicht eindeutig zu beantworten. Kommt darauf an.

Läuft überhaupt php bei dir als cgi läuft. Und wenn ob dieses nicht per wapper aufgerufen wird.

Dieses betrifft den Server selbst und dann zu opn.

Nutzt du die URL Codierung wird das abgefangen.

Nutzt du keine URL Codierung wird es zwar auch abgefangen aber nicht immer.

Das betrifft allerdings nicht die trunk Version.

In der aktuellen trunk Version wird dieses soweit wie möglich abgefangen.



Zitieren Druckerfreundliche Darstellung nach oben
Gast
Unregistrierter Benutzer
Geschrieben: 06.05.2012 11:09

Falls das nun doch wo passiert, dann wird der Quellcode der Seite angezeigt richtig?

Das heisst dann aber auch, dass jemand die mainfile direkt aufrufen müsste mit einem "?" in dem aufzurufenden Link?

Anderswo sind ja keine Daten zu OPN hinterlegt.
Also sollte das kein Problem sein.

Ist das korrekt?

[addsig]

Zitieren Druckerfreundliche Darstellung nach oben
stefan
Beiträge: 2435
Wohnort: Münster


Sende eine Private Nachricht an stefan
ICQ
Geschrieben: 06.05.2012 13:39

Nein nicht ganz.

Das -s ist mehr ein Beispiel. Dieses zeigt dann den quell Code was dann ja wie im Beispiel der mainfile fatal wäre.

Allerdings gibt es noch weitere Parameter. Unter anderem auch welche um direkt Code auszuführen oder beliebige Variable zu setzen.

Von daher ist die Sache schon unschön. Nur zu bedenken ist das es diese "Lücke" seit Jahren gibt. Man kann auf keinen Fall sagen das es alle Hoster usw. betrifft.

Das ganze ist von vielen Faktoren abhängig.

Natürlich kann es nicht schaden es "Bewusst" abzufangen. Auch ein Eigentest kann nie schaden.


Zitieren Druckerfreundliche Darstellung nach oben
ArthurDent
Registriert: 04.08.2005
Beiträge: 256


Sende eine Private Nachricht an ArthurDent Besuche die Homepage von ArthurDent
Geschrieben: 13.05.2012 13:02

Ich habe das mal bei mir auf dem Server probiert und bekam eine Fehlermeldung: Seite existiert nicht

Ich habe bei mir die URLs auf codiert gesetzt.


Arti



---------------------------------------------------
Life is a journey, not a guided tour

If you think technology can solve your problems you don't understand technology and you don't understand your problems.
(Bruce Schneier)

Really, I'm not out to destroy Microsoft. That will just be a completely unintentional side effect.
(Linus Torvalds)
---------------------------------------------------
Linux: Debian 2.6.37
Datenbank: MySQL - 5.5.22
Apache: 2.2
PHP: 5.3.27
OPN: 2.5.7 (Revision 6747)

Zitieren Druckerfreundliche Darstellung nach oben

Unregistrierter Benutzer
Geschrieben: 04.05.2021 18:33



Zitieren Druckerfreundliche Darstellung nach oben

Unregistrierter Benutzer
Geschrieben: 04.05.2021 18:34



Zitieren Druckerfreundliche Darstellung nach oben
sortieren nach

Hilfe anzeigen
Hilfe anzeigen
Vorheriges Thema:  Was eignet sich als Gaming-PC?
Nächstes Thema:  Fehler im Forum?

Gehe zu:

Benutzername:
 
Sicherheits-Code
Sicherheits-Code
Neu laden