Alert! Weitere Lücke in PHP [Update]

Eine kritische Lücke in PHP 5.x gefährdet die Sicherheit von Webservern. Der Fehler steckt in der PHP-Speicherbehandlungsfunktion ecalloc im Modul zend_alloc.c und beruht auf einem Integer Overflow. Unter bestimmten Umständen soll es etwa dem Fehlerbericht von Red Hat zufolge möglich sein, mit bestimmten Anfragen an den Server Speicher zu alloziieren, darüber eigenen Code einzuschleusen und mit den Rechten des Webservers auszuführen. Allerdings muss dazu ein entsprechendes PHP-Skript, welches ecalloc() aufruft, auf dem Server vorhanden sein.

Red Hat gibt bereits neue Pakete für sein Enterprise Linux AS, ES und WS (v. 2.1) heraus, in denen noch eine ältere verwundbare PHP-4-Version zum Einsatz kommt. Red Hat Enterprise Linux 3 und 4 sind nicht betroffen, da die fehlerhafte PHP-Version dort nicht zum Einsatz kommt. Aktuelle offizielle PHP-4-Versionen sind ebenfalls nicht angreifbar. Mandriva hat seine Pakete auch schon fehlerbereinigt. Einen offiziellen Fehlerreport von Zend gibt es noch nicht, dieser soll erst Anfang nächster Woche veröffentlicht werden. Der Fehler scheint aber im CVS von PHP bereits behoben worden zu sein.

Die Probleme mit PHP häufen sich: Erst kürzlich wurde ein Problem in open_basedir bekannt, mit dem dessen Beschränkungen sich umgehen lassen. Mitte September gab es einen Fehler mit Sicherheitseinstellungen und Mitte August mehrere Sicherheitslücken in PHP-Funktionen.

Siehe dazu auch: (dab)

• Important: php security update, Fehlerbericht von Red Hat
• Updated php packages fix integer overflow vulnerability, Fehlerbericht von Mandriva
• ZEND_API void *_ecalloc, Eintrag im PHP-CVS