Schwere Sicherheitslücke in Scriptsprache PHP

[Sandro Feuillet]

Der Schockwellenreiter meldet schwere Sicherheitslücken in der populären serverseitigen Scriptsprache PHP seien gefunden worden. Einige dieser Sicherheitslücken erlauben es einem Angreifer, das lokale Netzwerk zu attakieren.

Systemadministratoren werden aufgefordert ihre Webserver auf den aktuellsten Stand zu bringen. Gefährdet sind die PHP-Versionen bis einschl. 4.3.9 und 5.0.2. Zu einem Update auf 4.3.10 resp. 5.0.3 wird dringend geraten. (SF)

 

[Lucas Wyrsch]

Nicht nur in Scripten, auch bei Microsoft Windows soll es grosse Sicherheitslücken geben!

Microsoft Windows erneut mit schweren Sicherheitslücken - 5 Patches Update dringend
Boersenreport - 15. Dez. 2004
Microsoft hat heute 5 Sicherheits- Patches für Windows zum Download veröffentlicht. Nachdem die Redmonder bereits Anfang Dezember die extrem schwere Sicherheitslücke in Form des iFrame-Leck - das vor allem von Viren und Trojanern ausgenützt wird - ausserhalb der turnusmässigen Patches beseitigt hat, sind nun heute fünf reguläre Patches für den Dezember erschienen.
Patchday: Fünf Sicherheitslücken gestopft Der Standard
Patch Day: Microsoft schließt neun Windows-Lücken ZDNet.de
Chip Online - PC Professionell - Computerwoche - Golem.de - und 11 ähnliche Artikel »

aber, stören soll das Bill Gates nicht mehr, denn auch wenn seine Microdoft Pleite ginge, er arbeitet nun im Verwaltungsrat des erfolgreichsten Investores weltweit

Berkshire Hathaway ernennt Bill Gates zum Board-Mitglied
Finanztreff - 15. Dez. 2004
OMAHA (Dow Jones-VWD)--Die Berkshire Hathaway Inc, Omaha, beruft Bill Gates, Chairman bei der Microsoft Corp, in den Board des Unternehmens. ...
Gates wird Vorstand bei Berkshire Hathaway WinFuture
Gates und Buffett machen gemeinsame Sache PC Magazin
und 3 ähnliche Artikel »http://news.google.co.uk/news?hl=de...?id=23391918&sektion=topthemen&awert=&u=0&k=0

und somit sollten eigentlich alle seine möglichen Probleme gelöst sein und er dürfte über die Runden kommen!

Ja, die Welt dreht sich schnell!

 

[Ansgar Berhorn]

QUOTE Schwere Sicherheitslücke in Scriptsprache PHP


Zum Sprachgebrauch:

Den Titel finde ich äußerst unglücklich gewählt.

"Schwere Sicherheitslücke" bedeutet für mich zumindest, dass ein kritischer Fehler vorliegt und man sofort reagieren sollte.

Das Update ist durchaus wichtig, aber nicht kritisch.
Zitat der php-Entwickler:

QUOTE
This is a maintenance release that in addition to over 30 non-critical bug fixes addresses several very serious security issues

Zu finden hier:
http://www.php.net/release_4_3_10.php

 

[SloMo]

QUOTE (Ansgar Berhorn @ Sa 18.12.2004, 19:45)Das Update ist durchaus wichtig, aber nicht kritisch.
Zitat der php-Entwickler:

QUOTE
This is a maintenance release that in addition to over 30 non-critical bug fixes addresses several very serious security issues


Ich verstehe das so, dass zusätzlich zu über 30 unkritischen Bug-Fixes auch einige sehr ernste Sicherheitsprobleme behoben werden.

Also geht es - so wie ich's verstehe - schon um schwere Sicherheitslücken.

Erwähnenswert finde ich auch, dass das foreach-Konstrukt mit dem Update schneller wird.

 

[Lucas Wyrsch]

QUOTE
Zum Sprachgebrauch:

Den Titel finde ich äußerst unglücklich gewählt.

"Schwere Sicherheitslücke" bedeutet für mich zumindest, dass ein kritischer Fehler vorliegt und man sofort reagieren sollte.


Hallo Ansgar,

Im Prinzip ist natürlich alles Interpretationssache, aber Ernst sollte das Sicherheitsproblem in PHP Scriptsprache allemal genommen werden?

Schwere Sicherheitslücken auch bei PHP - Updates downloaden
Schwere Sicherheitslücken sind in der beliebten Skript-Sprache PHP entdeckt worden. Die neu entdeckten Sicherheitslecks können von potentiellen Angreifern ausgenutzt werden um mit Hilfe von Trojanern oder Viren eigenen Code auf dem befallenen System ohne das Wissen des Eigentümers auszuführen. Es sollen neun Schwachstellen in den Versionen 4.3.9 und 5.0.2 von PHP entdeckt worden sein, die erlauben die Code-Ausführung durch Speicherüberläufe, Manipulation an Datei-Pfaden oder das Umgehen von Sicherheitsrestriktionen um Manipulationen auszuführen. Glücklicherweise stehen im Gegensatz zu Windows-Sicherheitslecks unverzüglich auf PHP.net bereits aktualisierte Programmversionen 4.3.10 und 5.0.3 bereit, in denen die Fehler nicht mehr vorhanden sind.
Schwachstellen in PHP PC Professionell
Kritische Sicherheitslücken in PHP Golem.de
GFX-World - phpforum - und 6 ähnliche Artikel »

 

[Ansgar Berhorn]

Es geht nur um den Sprachgebrauch.
Es lohnt sicher nicht, da nun lange drum zu diskuttieren.

Der Golem-Artikel geht konkret auf die Auswirkung der Sicherheitslücken ein:
http://www.golem.de/0412/35219.html

QUOTE Im Prinzip ist natürlich alles Interpretationssache, aber Ernst sollte das Sicherheitsproblem in PHP Scriptsprache allemal genommen werden?

Natürlich.