Вышел PHP 4.4.1 (Множественные уязвимости в PHP)

MiRacLe

просто Чудо
Вышел PHP 4.4.1 (Множественные уязвимости в PHP)

Программа: PHP 4.4.0 и более ранние версии, 5.0.5 и более ранние версии

Опасность: Средняя

Наличие эксплоита: Нет

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю произвести XSS нападение, обойти ограничения безопасности и потенциально скомпрометировать систему.

1. Массив "GLOBALS" является недостаточно защищенным. Удаленный пользователь может переопределить глобальные переменные с помощью "multipart/form-data" POST запроса со специально сформированным полем file upload или посредством сценария, вызывающего функцию "extract()" или "import_request_variables()". Удачная эксплуатация уязвимости требует, чтобы опция register_globals была включена в конфигурационном файле PHP.

2. Обнаружена ошибка при обработке входных данных в функции "parse_str()", когда эта функция вызывается только с одним параметром. Злоумышленник может отключить memory_limit во время обработки входных данных в функции parse_str() путем отправки уязвимой функции большого количества переменных. Функция parse_str(), на время обработки входных данных, включает опцию register_globals, и если во время выполнения функции произойдет отключение memory_limit, то опция register_globals останется включенной до перезагрузки web сервера.

3. Межсайтовый скриптинг возможен при обработке входных данных в функции phpinfo(). Удаленный пользователь может с помощью специально сформированного URL выполнить произвольный HTML сценарий в браузере жертвы в контексте безопасности уязвимого сайта.

4. Удаленный пользователь может обойти механизмы безопасности "safe_mode" и "open_basedir" с помощью модулей "ext/curl" и "ext/gd".

5. Неопределенная ошибка при вызове функции virtual() в Apache 2 может быть использована для обхода ограничений безопасности директив "safe_mode" и "open_basedir".

Взято с securitylab.ru

надо обновляться....
 

MiRacLe

просто Чудо
очевидно на 5.0.6 (которого нет пока ;o) )

а вот с 4.4.1 какие-то "глюки". работать стало "помедленнее" в цифрах выразить не могу,так как мерять нужно было до обновления,но на "глаз" заметно и клиенты жаловаться стали, как-то изменилось поведение "internal pointer-ов" в массивах (замечено на wackowiki при построении дерева кластера). Апачи начали падать по ночам :), сейчас включу debug-лог буду "ловить" момент...
 

ys

отодвинутый новичок
Странно.
У людей админка глюкокрутилки phpAdsNews перестала работать при установки этой версии.

Браузер пишет, что от сервера получено 0 байтов данных.
При откате на 4.4.0 заработало.
 

confguru

ExAdmin
Команда форума
Обновился до 4.4.1 (на старом сервере)
вроде глюков нет.
Правда e-accelerator не работает под него.. :-(
 

MiRacLe

просто Чудо
admin
eA 0.9.3 c php4.4.1 (ZO 2.5.10a) у меня заработал(после пересборки)
dev-сервере он не захотел дружить с ZDS , точнее работать-то всё работает , но при debug-е или профайлинге апач падает с сегфолтом)
на других серверах работает вроде (про ночные падения я уже писал выше, но это не из-за eA - пробовал убирать его)

"Глюк" нашёл пока только в wackowiki.
 

SibProgrammer

Новичок
Также проблемы ZDS - апач не падает, но профайлинг выдается без графика, и вторая вкладка, где отчеты по времени, абсолютно не живая.
 

MiRacLe

просто Чудо
SibProgrammer eA отключи (его вообще не рекомендуют использовать совместно с ZO)
 
Сверху