PHP-kielessä vakavia haavoittuvuuksia

tino 08:07 22.12.04

CERT-FI varoittaa useista PHP:stä löydetyistä tietoturva-aukoista, jotka liittyvät safe_mode:n ohittamiseen ja funktioiden parametrien puutteelliseen tarkistukseen. Näitä tietoturva-aukkoja hyödyntämällä hyökkääjä voi ajaa kohdejärjestelmässä omia komentojaan ja/tai päästä käsiksi kohdejärjestelmän tietoihin. Tutkimusyhtiö NetCraft varoittaa löytäneensä jo julkaistun hyväksikäyttömenetelmän, jolla voi varastaa käyttäjä- ja salasanatietokannan phpBB -softasta. PHP:stä on julkaistu korjatut versiot 4.3.10 ja 5.0.3, jotka pitäisi asentaa mahdollisimman nopeasti jokaiseen julkiseen palvelimeen, joissa on asennettu näitä vanhempi PHP:n versio.

panttu 20:42 22.12.04 
Tämäkö se on sitä turvallista ja luetettavaa avointa koodia mitä paljon kehutaan.
Akiro 20:57 22.12.04 
panttu kirjoitti:
Tämäkö se on sitä turvallista ja luetettavaa avointa koodia mitä paljon kehutaan.
Tuollaiset hyvin perustellut kommentit voi jättää sanomatta jos ei ole muuta asiaa kuin trollaus..
weicco 07:33 23.12.04 
Tuhannet silmät tarkkailevat koodia...
akx 15:02 23.12.04 
panttu kirjoitti:
Tämäkö se on sitä turvallista ja luetettavaa avointa koodia mitä paljon kehutaan.


Nyt on.

Luetettavaa varsinkin. :)
panttu 20:26 23.12.04 
Niin PHP:n tapauksessa CERT-FI pyytää päivittämään ohjelmiston, mutta Mikkisoftan ohjelmien tapauksissa se varoittaa vakavista aukoista ja pyytää käyttämään vaihtoehtoisia ohjelmia, kunnes aukot korjataan. :)
editoitu: 03:04 24.12.04
tsuriga 03:03 24.12.04 
Koska Microsoftin korjaustahti ei ole ihan samaa luokkaa, niin hankala se on kyllä CERT-FI:n mennä sanomaan käyttäjille, että päivittäkää softa :). PHP:n tapauksessa tuo päivitys on olemassa.
Akiro 18:23 7.1.05 
http://fi.php.net/security-note.php

PHP-väen kommentit noista aukoista ja vähän yleisemminkin PHP:n tietoturvasta..
Marko 22:01 3.2.05 
On PHP kuitenkin parempi kuin Microsoftin ASP, ties mitä aukkoja ASP:ssä on. Sitä koodiahan ei kukaan ulkopuolinen edes pysty tutkimaan kun ei lähdekoodia ole saatavissa.
Marko 22:01 3.2.05 
On PHP kuitenkin parempi kuin Microsoftin ASP, ties mitä aukkoja ASP:ssä on. Sitä koodiahan ei kukaan ulkopuolinen edes pysty tutkimaan kun ei lähdekoodia ole saatavissa.
thefox 01:35 5.2.05 
Markollekin sopii tuo Akiron aiempi kommentti: "Tuollaiset hyvin perustellut kommentit voi jättää sanomatta jos ei ole muuta asiaa kuin trollaus.."