Neue PHP-Versionen schließen Sicherheitslöcher
Der Sicherheitsspezialist Stefan Esser hat zwei Sicherheitsprobleme in PHP entdeckt und veröffentlicht. Ein Problem mit der Speicherverwaltung können Angreifer ausnutzen, um eigenen Code einzuschleusen und auszuführen. Die Funktion strip_tags() zum Entfer
2004-07-16 00:00:00 2004-07-16 00:00:00 admin
Wenn PHP mit einer Grenze für den Speicherbedarf von Skripten läuft (memory_limit), kann ein Angreifer einen Abbruch eines Skripts an unsicheren Stellen provozieren. Das kann dazu führen, dass beliebiger Code auf dem PHP-System ausgeführt wird. Laut Esser sind alle Plattformen, auf denen PHP läuft, verwundbar, sofern sie nicht mit nichtausführbarem Stack/Heap arbeiten.
Um Cross-Site-Scripting-Angriffe zu verhindern, filtern viele Web-Entwickler Benutzereingaben mit der Funktion strip_tags(). Der Filter reagiert jedoch nicht auf Konstrukte wie <script>. Browser wie der Internet Explorer und Safari filtern dann das Zeichen '' aus dem Eingabestring und erzeugen damit ein gültiges Tag. Andere Browser wie Opera, Konqueror und Mozilla/Firefox zeigen kein solches Verhalten.
heise.de
Say thank you!
You like the article and want to thank the author? Send him an amount of your choice.
Say thanks!
Ratings
Here you can write a comment
Related topics
Das neue Urheberrechtsgesetz
Das neue Urheberrecht ändert sich, sehr zum Nachteil von Verbrauchern und Herstellern von Kopierprogrammen. Das private Kopieren von kopiergeschützten Werken wird ebenso verboten wie das Herstellen und Verbreiten entsprechender Kopierprogramme. Die Aktion ...
Autor :
admin
Category:
Software & Web-Development
Internetuser Kleinstudie (Jan. 2001)
Laut der Kleinstudie des schweizer Webdeveloper-Portals metafor.ch war im Januar 2001 der Microsoft Internet Explorer nach wie vor der führende Web- browser im deutschsprachigen Raum. ...
Autor :
admin
Category:
Software & Web-Development
T-Online-Kunden besorgt: Stirbt die T-DSL-Flatrate?
T-Online hat überraschend die Mindestvertragslaufzeit für T-DSL von 12 Monate auf 6 Werktage herabgesetzt. Die Änderung ist in der neuen "Leistungsbeschreibung/Preisliste T-Online dsl flat" enthalten, die seit dem vergangenen Freitag gilt. Sie ist im Inte ...
Autor :
admin
Category:
Software & Web-Development
Sicherheitslücken in PHProjekt
In der Open-Source-Groupware-Lösung PHProjekt 5.1 stecken zwei Sicherheitslücken, durch die Angreifer eigenen PHP-Code auf dem System ausführen können. So ist es möglich, über die Parameter path_pre in lib/specialdays.php sowie lib_path in lib/dbman_filte ...
Autor :
admin
Category:
Software & Web-Development
MySQL 3.23.51 has been released
MySQL 3.23.51 is now released. This version fixes several bugs and compile issues - see the changelog below for details. Most notably, we have switched back to using gcc 2.95.3 as the compiler for the Linux binaries and we now link against an updated vers ...
Autor :
admin
Category:
Software & Web-Development
Intel glaubt an baldiges Ende der PC-Flaute
Die Nachfrage nach neuen PCs mit mehr Rechenleistung werde ansteigen, meint Intel-CEO Craig Barret. ...
Autor :
admin
Category:
Software & Web-Development
