|
||
|
Tiistai, 21.12.2004 PHP-ohjelmointikielessä useita haavoittuvuuksiaWebpalvelujen suosituimmaksi ohjelmointialustaksi nousseesta PHP-ohjelmointikielestä on löytynyt useita vakavia haavoittuvuuksia. CERT-FI:n mukaan haavoittuvuudet sijaitsevat useissa PHP-ohjelmointikielen funktioissa ja ne liittyvät esimerkiksi safe_mode -funktion ohittamiseen ja eri funktioille lähetettyjen parametrien puutteelliseen tarkistukseen.
Lue juttu oma, 21.12.2004 09:32. Lähde: CERT-FI, Netcraft, php.net
|
|
|
Copyright © 1998-2007 - Coredump Oy. ISSN 1458-476X. |
||
pehu, 21.12.2004 10:55:45
Tuon mukaan exploitit toimivat vain windowssissa.
bungle, 21.12.2004 11:33:17
Yhdestä serveristä korvautuivat kaikki .php, .html sekä .html tiedostot madon toimesta. Lisäksi palvelimessa pyöri perl-skripti 100 CPU kuormalla (tarkemmin ottaen /tmp/d0s1.txt). Kyseisessä palvelimessa oli Gentoo GNU/Linux ja Apache 2.0.52-r1 sekä mod_php 4.3.9.
"See the animal in his cage that you built, are you sure what side you're on?" -- Trent Reznor
bungle, 21.12.2004 16:59:52
"See the animal in his cage that you built, are you sure what side you're on?" -- Trent Reznor
kenu, 22.12.2004 20:02:28
mla, 22.12.2004 13:33:08
Nyt kun kävin läpi ko palvelimen lokeja on sinne koitettu päästä sisään vastaavilla scripteillä kuin Santy - kuitenkin 'tuho' näyttäisi rajoittuneen 100% CPU käyttöön perlillä. Tuo aiheutti myös sen, ettei Apache voinut restartata ilman boottia, tai jos scripti sai yhteyden ulkomaailmaan niin ko palvelinta suojaava palomuuri tukehtui tuhansiin ja tuhansiin yhteydenottoihin.
Pineapple, 22.12.2004 03:00:08
Asimov, 22.12.2004 10:28:52
Kiva. Muista on backupit mutta keskusteluista ei.
jst, 22.12.2004 15:12:15
feenix, 22.12.2004 19:17:59
jst, 23.12.2004 09:35:12
Itse en luota, vaan vähän laiska olen backuppaamaan. Tuosta sai hyvän triggerin.
mxmattil, 21.12.2004 20:56:27
"Tänään kaikki palvelun julkiset tiedostot public_html -kansiosta olivat yliajettu uusilla "This site is defaced" -ilmoituksilla. Alaparkki kertoo tapahtuneesta oma-aloitteisesti."
http://www.digitoday.fi/showPage.php?page_id=14&am...
kenu, 22.12.2004 20:10:14
Kuukkelin cache paljastaa asian:
http://64.233.183.104/search?q=cache:SmfQzPE804AJ:...
kenu, 22.12.2004 20:24:08
ukrainalaisella Ford-sivulla.
kenu, 22.12.2004 20:28:33
http://64.233.183.104/search?q=cache:stl3FWTlRHQJ:...
eli http://www.nissanklub.pl/
(toimii nyt ke-iltana).
Daedalon, 21.12.2004 09:56:21
Eli jos palvelimissa tuntuu jumitusta lähipäivinä tai -kuukausina, yksi mahdollinen syy on se että on päästy ajamaan www-tunnuksilla shellikomentoja ja kone on valjastettu DoS-verkon osaksi. Ehkä tässä selitys siihen, miksi Pelit.Surffi.Netin pelipalvelimet olivat eilen pahasti lagisia?
kudzu, 21.12.2004 12:44:42
eXeonical, 22.12.2004 01:22:01
Tietysti hyvä ohjelmoija on käyttänyt aikaa syötteiden ja polkujen tarkistamiseen, mutta kaikki eivät ole hyviä ohjelmoijia.
kudzu, 22.12.2004 13:20:11
Daedalon, 23.12.2004 12:27:28
Ota kaikkien foorumeilla käytettyjen tyylimäärittelyiden (templates) tiedostot overall_footer.tpl auki ja vaihda sieltä kohdan "{PHPBB_VERSION}" tilalle "2.0.x" tai poista kohta kokonaan.
Tämän jälkeen täytyy kuitenkin itse muistaa, mitä versiota ajaa, eli ei voikaan enää sivuille menemällä katsoa että jaha, uudempi versio onkin jo ilmestynyt. Tämä ei myöskään poista mahdollisia aukkoja, estää vaan tuon versionumerotulostuksen perusteella tehdyt automatisoidut hyökkäykset.
ff, 21.12.2004 12:09:33
anger, 21.12.2004 13:53:17
Eri asia vaan onkin että milloin se tulee. Ainakaan minulla ei ole juurikaan tietoa kuinka nopeaan tahtiin tuonne ilmestyy päivityksiä.
Datamike, 21.12.2004 12:28:04
mla, 22.12.2004 13:06:20
1. Lataa koodi ja pura se.
2. Tee PHPInfo() sivu, josta näet vanhan Configuren parametrit
3. Lataa iso kasa -devel paketteja ja asenna ne tarvittaessa, muut ovat selviä configuren virheilmoista, mutta pspell on aspell paketti ja elfutils-devel oli joku mitä scripti ei suoraan sano puuttuvaksi vaan antaa jokun oudon virheen.
4. Make, pysäytä HTTPD ja Make Install -> HTTPD uudelleen käynnistys ja mahdollisten .conffien korjaus, jos Make Install sotki niitä.
Tuolta http://www.modem-help.co.uk/help/diary20040402.htm... itse löysin apua eilen kun virittelin tuon toimimaan omille FC1 koneille.
ff, 23.12.2004 10:20:15
mla, 23.12.2004 22:18:46
mla, 23.12.2004 22:36:26
Saltsa, 23.12.2004 18:58:09
Vielä ku osais noista sanoa jotain :(
Bob, 22.12.2004 23:41:42
http://isc.sans.org/diary.php?date=2004-12-20
* UPDATE: phpBB Worm. Holiday Security Guide, Predictions for 2005, Sign that you take security too serious.
Open viewtopic.php in any text editor. Find the following section of code:
Code:
-------------------------------------------------------------------------------------------------
//
// Was a highlight request part of the URI?
//
$highlight_match = $highlight = '';
if (isset($HTTP_GET_VARS['highlight']))
{
// Split words and phrases
$words = explode(' ', trim(htmlspecialchars(urldecode($HTTP_GET_VARS['highlight']))));
for($i = 0; $i < sizeof($words); $i++)
{
and replace with:
Code:
//
// Was a highlight request part of the URI?
//
$highlight_match = $highlight = '';
if (isset($HTTP_GET_VARS['highlight']))
{
// Split words and phrases
$words = explode(' ', trim(htmlspecialchars($HTTP_GET_VARS['highlight'])));
for($i = 0; $i < sizeof($words); $i++)
{
Please inform as many people as possible about this issue. If you're a hosting provider please inform your customers if possible. Else we advise you implement some level of additional security if you run ensim or have PHP running cgi under suexec, etc.
____________
kenu, 23.12.2004 10:08:47
5 % vastanneista tälllä hetkellä paikkaamaton versio, mutta hyökkäys ei osunut kohdalle.
Linkki http://isc.sans.org/index.php vie aina uusimpaan 'Diaryyn', kysely ainakin toistaiseksi sivun oikeassa laidassa.
mla, 23.12.2004 22:23:52
5 % vastanneista tälllä hetkellä paikkaamaton versio, mutta hyökkäys ei osunut kohdalle.
Linkki http://isc.sans.org/index.php vie aina uusimpaan 'Diaryyn', kysely ainakin toistaiseksi sivun oikeassa laidassa.