1. Diese Seite verwendet Cookies. Wenn du dich weiterhin auf dieser Seite aufhältst, akzeptierst du unseren Einsatz von Cookies. Weitere Informationen

Aktuelle Sicherheitslücke in PHP

Dieses Thema im Forum "PHP" wurde erstellt von saftmeister, 5. Mai 2012.

  1. saftmeister

    saftmeister Nutze den Saft! Premium-User

    Jeder Webmaster ist dazu angehalten, sich um die Sicherheit seiner Webpräsenz zu kümmern. Im Speziellen Besitzer eines sog. Root-Servers.

    Seit gestern ist ein Metasploit-Modul im Umlauf, welches eine Remote-Shell auf einem Webserver öffnen kann, der mit PHP-CGI als SAPI betrieben wird.

    Für Neulinge: Wie finde ich heraus, ob mein Server mit PHP-CGI betrieben wurde:

    Code (PHP):
    1.  
    2. <?php
    3. echo PHP_SAPI;
    4. ?>
    5.  
    Wenn da "cgi" zurück kommt, ist man evtl. verwundbar. Wenn "cgi-fcgi" zurück kommt, ist man nicht. Bei anderen Angaben ist man auch nicht verwundbar (z.B. "apache2handler").

    Ob man tatsächlich verwundbar ist, erfährt man, wenn man an die URL zu einem PHP-Script die Zeichen-Kette "?-s" anhängt.

    (!) ACHTUNG! Dies ist keine Anleitung für die Durchführung einer illegalen Handlung! Wer damit versucht andere Webserver zu übernehmen, macht sich zu mindest nach deutschem Recht strafbar! (!)

    Quellen:
    http://www.heise.de/newsticker/meldung/PHP-patcht-schnell-aber-nicht-gruendlich-1567906.html
    dreifragezeichen sagt Danke.
  2. Alice

    Alice Erfahrenes Mitglied

    Hallo. :)

    Ich bekam gestern eine E-Mail von meinem Webhoster wo das Problem beschrieben wurde. Eine halbe Stunde später wurde dann auch schon ein Update installiert.

    Vorher: 5.2.12-nmm2
    Aktuell: 5.2.12-nmm3
  3. Alice

    Alice Erfahrenes Mitglied

    Hallo noch einmal. :)

    Sorry für Doppelpost.

    Mein Webhoster hat die Version (warum auch immer) nun auf PHP 5.2.12-nmm4 geupdatet.
  4. saftmeister

    saftmeister Nutze den Saft! Premium-User

    Hallo Alice,

    hast du den Artikel auf heise.de gelesen? Das ist vermutlich der Grund für das Update für das Update.
  5. Alice

    Alice Erfahrenes Mitglied

    Ne habe ich erst jetzt gelesen.
  6. thehacker

    thehacker Anhänger der Apachen

    Mein Hoster hatte an diesem Tag auch schon Updates eingeplant, also war das relative schnell gelöst.

    Meinem Eigenen Server habe ich 10 Sekunden nach dem ich die Artikel fand geupdatet :D

Diese Seite empfehlen