{"id":2033,"date":"2012-05-03T18:28:52","date_gmt":"2012-05-03T17:28:52","guid":{"rendered":"http:\/\/www.cms-content-migration.de\/?p=2033"},"modified":"2016-04-20T06:19:05","modified_gmt":"2016-04-20T04:19:05","slug":"kurzmeldung-kritische-sicherheitsluecke-in-php-im-cgi-modus","status":"publish","type":"post","link":"https:\/\/www.media-deluxe.de\/blog\/2012\/05\/kurzmeldung-kritische-sicherheitsluecke-in-php-im-cgi-modus\/","title":{"rendered":"Kurzmeldung: Kritische Sicherheitsl\u00fccke in PHP im CGI-Modus"},"content":{"rendered":"<div><strong class=\"abstract\">Das US-CERT warnt vor einer kritischen Sicherheitsl\u00fccke in PHP, wenn dieses im CGI-Modus betrieben wird. Wir konnten das vom US-CERT beschriebene Ph\u00e4nomen bei uns nicht nachvollziehen, aber falls es in bestimmten Konfigurationen zutrifft, ist dort das Gef\u00e4hrdungspotenzial extrem hoch. <!--more--><\/strong><\/div>\n<p><a href=\"https:\/\/www.media-deluxe.de\/blog\/2012\/04\/cvss-common-vulnerability-scoring-system\/\">CVSS Metrics<\/a>:<br \/>\nBase 9,0 AV:N\/AC:L\/Au:N\/C:C\/I:P\/A:P<br \/>\nTemporal 8,5 E:F\/RL:U\/RC:C<\/p>\n<p>Ein erster Schnelltest, der Hinweise dar\u00fcber gibt ob man von der Schwachstelle betroffen ist, besteht darin, PHP-Seiten mit dem Parameter ?-s  (Beispiel: <code>\/meinephpseite.php?-s<\/code>) aufzurufen. Auf gef\u00e4hrdeten Plattformen wird dann m\u00f6glicherweise der PHP-Quellcode (der beispielsweise auch Passw\u00f6rter enthalten kann) ausgegeben.<\/p>\n<p>Die mit gro\u00dfem Abstand \u00fcberwiegende Mehrheit der derzeit verwendeten PHP-Implementierungen basiert jedoch auf FastCGI statt CGI oder l\u00e4uft als Servermodul. Solche PHP-Installationen sind von der hier beschriebenen Sicherheitsl\u00fccke nicht betroffen.<\/p>\n<hr \/>\n<h3>Weiterf\u00fchrende Links<\/h3>\n<ul>\n<li>US-CERT: <a href=\"http:\/\/www.kb.cert.org\/vuls\/id\/520827\" target=\"_blank\" rel=\"nofollow\">PHP-CGI query string parameter vulnerability<\/a> (3.5.2012)<\/li>\n<\/ul>\n<hr \/>\n<p>Update 22:30 Uhr:<br \/>\nInzwischen hat PHP die beiden Updates PHP 5.3.12 und PHP 5.4.2 ver\u00f6ffentlicht, die den Fehler beheben sollen. Als Alternative wird auch ein mit wenig Aufwand implementierbarer Workaround auf Basis von mod_rewrite skizziert. Details: php.net: <a href=\"http:\/\/www.php.net\/index.php#id2012-05-03-1\" target=\"_blank\" rel=\"nofollow\">PHP 5.3.12 and PHP 5.4.2 Released!<\/a><\/p>\n<hr \/>\n<p>Update 4.5.2012, 12 Uhr:<br \/>\nDie PHP-Bugfixes erwiesen inzwischen als nicht zuverl\u00e4ssig. Dar\u00fcber hinaus wurde auch bekannt, dass selbst in Konfigurationen, in denen PHP standardm\u00e4\u00dfig als Servermodul l\u00e4uft, ebenfalls PHP im CGI-Modus zur Ausf\u00fchrung kommen kann, beispielsweise wenn per AddType in der .htaccess f\u00fcr einen Unterordner eine andere PHP-Konfiguration verwendet wird. Dies trifft auch f\u00fcr einige der gro\u00dfen Hoster zu.<\/p>\n<hr \/>\n<p>Update 6.5.2012:<br \/>\nPHP k\u00fcndigte korrigierte Bugfix-Releases f\u00fcr Dienstag, den 8.5.2012, an.<\/p>\n<hr \/>\n<p>Update 8.5.2012:<br \/>\nPHP ver\u00f6ffentlicht die Releases PHP 5.4.3 und PHP 5.3.13, die die o.g. Verwundbarkeit beseitigen sollen. Details: php.net <a href=\"http:\/\/www.php.net\/index.php#id2012-05-08-1\" target=\"_blank\" rel=\"nofollow\">PHP 5.4.3 and PHP 5.3.13 Released!<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Das US-CERT warnt vor einer kritischen Sicherheitsl\u00fccke in PHP, wenn dieses im CGI-Modus betrieben wird. Wir konnten das vom US-CERT beschriebene Ph\u00e4nomen bei uns nicht nachvollziehen, aber falls es in bestimmten Konfigurationen zutrifft, ist dort das Gef\u00e4hrdungspotenzial extrem hoch.<\/p>\n","protected":false},"author":3,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[278,279],"tags":[276],"class_list":["post-2033","post","type-post","status-publish","format-standard","hentry","category-cms-news","category-cms-sicherheitswarnungen","tag-php"],"_links":{"self":[{"href":"https:\/\/www.media-deluxe.de\/blog\/wp-json\/wp\/v2\/posts\/2033","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.media-deluxe.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.media-deluxe.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.media-deluxe.de\/blog\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/www.media-deluxe.de\/blog\/wp-json\/wp\/v2\/comments?post=2033"}],"version-history":[{"count":2,"href":"https:\/\/www.media-deluxe.de\/blog\/wp-json\/wp\/v2\/posts\/2033\/revisions"}],"predecessor-version":[{"id":3689,"href":"https:\/\/www.media-deluxe.de\/blog\/wp-json\/wp\/v2\/posts\/2033\/revisions\/3689"}],"wp:attachment":[{"href":"https:\/\/www.media-deluxe.de\/blog\/wp-json\/wp\/v2\/media?parent=2033"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.media-deluxe.de\/blog\/wp-json\/wp\/v2\/categories?post=2033"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.media-deluxe.de\/blog\/wp-json\/wp\/v2\/tags?post=2033"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}