Neue PHP-Versionen schließen Sicherheitslöcher
Der Sicherheitsspezialist Stefan Esser hat zwei Sicherheitsprobleme in PHP entdeckt und veröffentlicht. Ein Problem mit der Speicherverwaltung können Angreifer ausnutzen, um eigenen Code einzuschleusen und auszuführen. Die Funktion strip_tags() zum Entfer
2004-07-16 00:00:00 2004-07-16 00:00:00 admin
Wenn PHP mit einer Grenze für den Speicherbedarf von Skripten läuft (memory_limit), kann ein Angreifer einen Abbruch eines Skripts an unsicheren Stellen provozieren. Das kann dazu führen, dass beliebiger Code auf dem PHP-System ausgeführt wird. Laut Esser sind alle Plattformen, auf denen PHP läuft, verwundbar, sofern sie nicht mit nichtausführbarem Stack/Heap arbeiten.
Um Cross-Site-Scripting-Angriffe zu verhindern, filtern viele Web-Entwickler Benutzereingaben mit der Funktion strip_tags(). Der Filter reagiert jedoch nicht auf Konstrukte wie <script>. Browser wie der Internet Explorer und Safari filtern dann das Zeichen '' aus dem Eingabestring und erzeugen damit ein gültiges Tag. Andere Browser wie Opera, Konqueror und Mozilla/Firefox zeigen kein solches Verhalten.
heise.de
Sage Danke!
Du findest den Beitrag gut und möchtest Dich beim Autor bedanken? Schicke ihm einen Betrag Deiner Wahl.
Danke sagen!
Erfahrungen
Hier Kannst Du einen Kommentar verfassen
Verwandte Beiträge
Apache 1.3.24 schließt Sicherheitslücke
Die am Wochenende veröffentlichte Version 1.3.24 des Web-Servers Apache schließt eine Sicherheitslücke, die es Angreifern erlaubte, Kommandos auf Windows-Systemen mit Apache auszuführen. Aber auch einige Detailverbesserungen bringt die aktuelle Version mi ...
Autor :
admin
Kategorie:
Software & Web-Development
SilverStripe in Deutschland
Das auf PHP5 basierende OpenSource-CMS und MVC-Framework "SilverStripe" erfreut sich auch in Deutshland immer größerer Beliebtheit. Grund genug für das Entwicklerstudio aus Neuseeland, die ersten Usergroup-Treffen überhaupt in Deutschland (Berlin und Münc ...
Autor :
admin
Kategorie:
Software & Web-Development
PHP-Kongress in Köln
Das php-center.de und die Kölner Globalpark GmbH organisieren den ersten deutschsprachigen PHP-Kongress am 5.- 6. Oktober in Köln. ...
Autor :
admin
Kategorie:
Software & Web-Development
MySQL 3.23 reif für Produktions- umgebungen
Nach fast zwei Jahren Entwicklung haben die MySQL-Entwickler der Version 3.23 das Prädikat "stabil" verliehen. Damit ist die neue Version der seit Sommer letzten Jahres unter der GPL stehenden Open-Source-Datenbank MySQL 3.23 bereit für den Einsatz auch i ...
Autor :
admin
Kategorie:
Software & Web-Development
Skandal von freecity.de
Seit einigen Wochen sind die Internetseiten und Online-Community's welche bei one2one gehostet sind in Gefahr. Es liegt nicht an one2one, sondern an einem anderen Provider Namens freecity (http://www.freecity.de) und der Tochterfirma kontent (http://www.k ...
Autor :
admin
Kategorie:
Software & Web-Development
MySQL-Front Version 2.2 available
-------------------------------------- Changes to the last version: -------------------------------------- New features: - Database-Tree: Fields are now displayed beyond the tables - MySQL-Errors now are displayed with a help-button, which links to ...
Autor :
admin
Kategorie:
Software & Web-Development
