29.09.2006 16:12
Alert! PHProjekt führt fremde Skripte aus
Der PHP-Sicherheitsspezialist Stefan Esser berichtet über Sicherheitslücken in der Open-Source-Groupware-Lösung PHProjekt, über die Angreifer eigene Skripte, etwa über externe Webseiten einbinden und im Kontext des Servers ausführen können. Betroffen ist die Version 5.1.1 sowie vorhergehende. Versionen vor 5.0 sind laut Bericht nicht verwundbar. Die Entwickler haben den Fehler in Version 5.1.2 behoben und empfehlen dringend, diese zu installieren. Ein ähnliche Lücke in PHProjekt wurde erst Mitte August geschlossen.
Ursache des Problems sind laut Esser mehrere Pfadvariablen, deren Inhalt nicht geprüft wird. Um zukünftig solche Probleme unter PHP zu vermeiden, empfiehlt Esser die Installation der Sicherheitserweiterung Suhosin. Die Erweiterung soll Server und Anwender vor bekannten und unbekannten Schwachstellen in PHP-Anwendungen und PHP selbst schützen. Unter anderem patcht die Erweiterung den PHP-Kern, um einen Schutz vor Buffer Overflows und Format-String-Schwachstellen hinzuzufügen.
Siehe dazu auch:
(dab)
- New release 5.1.2 with security update, Ankündigung von PHProjekt
- PHProjekt (Remote) Include Vulnerabilities, Fehlerbericht von Stefan Esser
Unsere Entdeckung, dass via Skype verschickte URLs von Microsoft besucht werden, hat für einigen Aufruhr gesorgt. Mittlerweile liegen etwas mehr Informationen dazu auf dem Tisch. 
Die aktuelle BKA-Trojaner sperrt nicht nur den Rechner, sondern legt auch Bilder mit Kinderpornografie auf dem System ab. Mit Desinfec't kann man diesen Unrat aufspüren und beseitigen. 
Der Krypto-Experte Karsten Nohl kritisiert die Absenkung des Schutzniveaus für Steuer-, Sozial- und Gerichtsdaten im Rahmen der gesetzlichen Anpassungen für De-Mail. 
Wer verhindern will, dass Nutzer auf fremde Kalender zugreifen oder eigenen PHP-Code in den Server einschleusen, sollte baldmöglichst auf eine der aktuellen Versionen umsteigen. 
Die Mozilla-Entwickler haben zahlreiche Sicherheitslöcher in Firefox und Thunderbird gestopft. Durch eine kann ein Angreifer, der bereits einen Fuß in der Tür hat, an Systemrechte gelangen. 
