Neue PHP-Versionen schließen Sicherheitslöcher

Der Sicherheitsspezialist Stefan Esser hat zwei Sicherheitsprobleme in PHP entdeckt und veröffentlicht. Ein Problem mit der Speicherverwaltung können Angreifer ausnutzen, um eigenen Code einzuschleusen und auszuführen. Die Funktion strip_tags() zum Entfer

2004-07-16 00:00:00 2004-07-16 00:00:00 admin

Der Sicherheitsspezialist Stefan Esser hat zwei Sicherheitsprobleme in PHP entdeckt und verÃ¶ffentlicht. Ein Problem mit der Speicherverwaltung kÃ¶nnen Angreifer ausnutzen, um eigenen Code einzuschleusen und auszufÃ¼hren. Die Funktion strip_tags() zum Entfernen von Script-Code lÃ¤sst sich austricksen. Beide Probleme sind erst in den aktuellen Versionen 4.3.8 und 5.0 behoben worden.

Wenn PHP mit einer Grenze fÃ¼r den Speicherbedarf von Skripten lÃ¤uft (memory_limit), kann ein Angreifer einen Abbruch eines Skripts an unsicheren Stellen provozieren. Das kann dazu fÃ¼hren, dass beliebiger Code auf dem PHP-System ausgefÃ¼hrt wird. Laut Esser sind alle Plattformen, auf denen PHP lÃ¤uft, verwundbar, sofern sie nicht mit nichtausfÃ¼hrbarem Stack/Heap arbeiten.

Um Cross-Site-Scripting-Angriffe zu verhindern, filtern viele Web-Entwickler Benutzereingaben mit der Funktion strip_tags(). Der Filter reagiert jedoch nicht auf Konstrukte wie <script>. Browser wie der Internet Explorer und Safari filtern dann das Zeichen '' aus dem Eingabestring und erzeugen damit ein gÃ¼ltiges Tag. Andere Browser wie Opera, Konqueror und Mozilla/Firefox zeigen kein solches Verhalten.

heise.de

Author

admin
Administrator

View profile of admin

Say thank you!
You like the article and want to thank the author? Send him an amount of your choice.
Say thanks!

`Ratings`

There are no comments available yet.

Here you can write a comment

International PHP Conference 2006

Bereits zum sechsten Mal bringen wir für Sie die Top-Köpfe der PHP-Community zusammen und bieten Ihnen 4 Tage volle Information, die aktuellsten Neuigkeiten rund um PHP und jede Menge Spaß beim Networking mit anderen PHP-Profis. Um ein breites Spektrum ...

Autor : admin
Category: Software & Web-Development

PHP 4.3.3RC1 veröffentlicht

PHP 4.3.3RC1 wurde zum Testen freigegeben. Dieser erste Release-Kandidat sollte eine geringe Anzahl an Bugs oder Fehlern haben. Eine Liste der Neuerungen ist hier zu finden. ...

Autor : admin
Category: Software & Web-Development

Softwarepatente : Hochrangige Europaparlamentarierin wirft EU-Kommission „Schulterschluss mit Microsoft“ vor und sieht nächste Niederlage von Kommissi

"Unüberlegter Schulterschluss mit Microsoft, der die EU-Kommission noch teuer zu stehen kommen könnte" -- "Bill Gates [...] schafft sich im Moment immer mehr Gegner im EU-Parlament" -- Scharfe Kritik an der Kommission übten zuvor schon CDU/CSU und FDP ...

Autor : admin
Category: Software & Web-Development

Das neue Urheberrechtsgesetz

Das neue Urheberrecht ändert sich, sehr zum Nachteil von Verbrauchern und Herstellern von Kopierprogrammen. Das private Kopieren von kopiergeschützten Werken wird ebenso verboten wie das Herstellen und Verbreiten entsprechender Kopierprogramme. Die Aktion ...

Autor : admin
Category: Software & Web-Development