Poważna luka PHP w trybie CGI

[Grz3chu 22]

Jak było to przepraszam, ale sprawa świeża.

 

Dziura umożliwia praktycznie nieograniczony dostęp do shell'a i wykonanie dowolnego polecenia z uprawnieniami serwera webowego. Szczęściem w nieszczęściu jest fakt, że większość administratorów serwerów hostingowych używa trybu FastCGI który nie jest zagrożony.

 

http://centos.linux....p-w-trybie-cgi/

[Gość patrys]

Nie taka świeża, ale wyprzedzając userów z DirectAdmin, nie działało to też na serwerach z suphp.

Z popularnych instalacji hostingowych zahaczyło to tylko wersje Pleska 9.0 - 9.2.3.

[Grz3chu 22]

No i załatali w 5.4.3 i 5.3.13

[Ganicjusz 0]

A ja mam pytanie - chwilowo posiadam php 5.4.0-3 (wheezy) i jeśli NIE CHCE aktualizować to da radę to jakoś załatać samemu?

Edytowano Maj 10, 2012 przez Ganicjusz (zobacz historię edycji)

[xorg 693]

A masz php jako CGI (nie fastcgi) ?

[Grz3chu 22]

Co masz na myśli mówiąc NIE CHCE? Nie chcesz instalować nowszej wersji samemu czy nawet poprawki która się niedługo pokarze? Póki co możesz dodać regułki rewrite. Na stronie Debiana odnośnie php i tej luki napisali:

 

The testing distribution (wheezy) will be fixed soon.

[Ganicjusz 0]

A masz php jako CGI (nie fastcgi) ?

 

Tak

 

Co masz na myśli mówiąc NIE CHCE? Nie chcesz instalować nowszej wersji samemu czy nawet poprawki która się niedługo pokarze? Póki co możesz dodać regułki rewrite. Na stronie Debiana odnośnie php i tej luki napisali:

 

The testing distribution (wheezy) will be fixed soon.

 

Jakoś nie chce mi się aktualizować ciągle php - np. po aktualizacji do php 5.4 wywaliło mi apc (czy to dołączyli do php?) i suhosin tez nie działa, dodatkowo przeszedłem na wheezy (dość ryzykowny pomysł ale co tam) więc ostatnio dużo tych aktualizacji Te regułki to wklejam do php ini czy do pliku konfiguracyjnego np. apache2.conf? Sorry za lamerstwo

Edytowano Maj 10, 2012 przez Ganicjusz (zobacz historię edycji)

[Grz3chu 22]

Tak możesz go dodać do głownego configu żeby było globalnie. Ogólnie można dawać wszędzie: server config, virtual host, directory, .htaccess

[xorg 693]

To może pochwal się czemu używasz cgi zamiast fastcgi, bo ja nie widzę sensownych plusów tego pierwszego.

[Ganicjusz 0]

To może pochwal się czemu używasz cgi zamiast fastcgi, bo ja nie widzę sensownych plusów tego pierwszego.

 

Bo jestem absolutnym noobem, który "administrowania" zaczął się uczyć jakieś 2 tyg temu z poradników? No może nie absolutnym bo coś przynajmniej o linuksie wiem a to pomaga.

 

FastCGI to mi się z konfiguracją php dla Nginx kojarzy ale jak to przy apache zrobic to nie mam pojęcia ale już coś tam znalazłem na howtoforge. Dzięki za uświadomienie

Edytowano Maj 10, 2012 przez Ganicjusz (zobacz historię edycji)

[xorg 693]

To nie zaprzestawaj tylko ucz sie dalej - przesiadka na fastcgi uchroni Cie przed tym bugiem (zupelnie nie dziala w przypadku uzycia fcgi), a zarazem odczujesz spory wzrost wydajnosci.

 

W apache mozna zrobic to na wiele sposobow, np. za pomoca mod_fastcgi. Jak chcesz pomocy zwiazanej z tym, to napisz nowy temat w odpowiednim dziale.

Edytowano Maj 11, 2012 przez xorg (zobacz historię edycji)