Критическая уязвимость в PHP, проявляющаяся в CGI-режиме

04.05.2012 08:23 #249710

Компьютерная группа реагирования на чрезвычайные ситуации (CERT) опубликовала уведомление об утечке информации о критической уязвимости в PHP, которая позволяет запустить произвольный код на сервере или просмотреть исходный код любого PHP-скрипта, выполняемого в CGI-режиме. Cкрипты, выполняемые с использованием mod_php и FastCGI, не подвержены проблеме.

Опасность уязвимости усугубляет тот факт, что несмотря на то, что разработчики PHP были уведомлены о проблеме ещё 17 января, а 23 февраля был отправлен дополнительный запрос от имени CERT, уязвимость остаётся неисправленной. Проблема вызвана ошибкой, допущенной в 2004 году. Интересно также то, что утечка информации возникла из-за оплошности разработчиков PHP, поместивших информацию о проблеме в публичный трекер ошибок, до момента выхода исправления с устранением уязвимости.

Эксплуатация проблемы тривиальна - достаточно передать опцию командной строки, поддерживаемую интерпретатором, в качестве аргумента при выполнении запроса. Например, для показа исходного кода текущего скрипта достаточно указать "http://localhost/index.php?-s". Также можно поступить и с другими опциями и, проявив немного эрудиции, организовать выполнение кода на сервере. Всем пользователям PHP, использующим скрипты в режиме CGI, следует незамедлительно установить патч.

Источник »
Главная ссылка к новости »

04.05.2012 10:02 #249722

за новость спс!

04.05.2012 15:45 #249791

Это капец просто.

05.05.2012 15:49 #249908

Lupo Alberto написал:
Например, для показа исходного кода текущего скрипта достаточно указать "http://localhost/index.php?-s".

попробовал. Не получилось.

text

http://192.168.XXX.XXX/phpmyadmin/index.php?-s

Никакого исходного кода...

05.05.2012 16:08 #249918

Cruiser78 написал:
[quote=Lupo Alberto]Например, для показа исходного кода текущего скрипта достаточно указать "http://localhost/index.php?-s".

попробовал. Не получилось.

text

http://192.168.XXX.XXX/phpmyadmin/index.php?-s

Никакого исходного кода...[/quote]

которая позволяет запустить произвольный код на сервере или просмотреть исходный код любого PHP-скрипта, выполняемого в CGI-режиме

05.05.2012 19:03 #249940

Cruiser78 написал:
[quote=Lupo Alberto]Например, для показа исходного кода текущего скрипта достаточно указать "http://localhost/index.php?-s".

попробовал. Не получилось.

text

http://192.168.XXX.XXX/phpmyadmin/index.php?-s

Никакого исходного кода...[/quote]
cgi режим же
если хочешь потестить, читай тут как запускать cgi в пыхе http://www.jino.ru/support/faq/php/php-via-cgi.html#php-via-cgi
( я тестил, вышло только сорцы глянуть, запустить ничего не вышло )