En ny versjon av PHP-programvaren ble utgitt i går etter at det viste seg av versjon 5.3.9, som ble utgitt for en knapp måned siden, har en alvorlig sårbarhet som åpner for fjernkjøring av vilkårlig kode via weben.
Ifølge The H Security ble versjon 5.3.9 utgitt for å hindre tjenestenektangrep (DoS) ved å bruke hash-kollisjoner.
Sårbarheten som er fjernet i versjon 5.3.10 må anses som mer alvorlig, og sikkerhetsoppdateringen karakteriseres som kritisk på PHP.net.
Ifølge The H Security ble DoS-sårbarheten fjernet ved at det maksimale antallet input-parametre ble begrenset til 1000 i php_variables.c ved hjelp av innstilligen max_input_vars i php.ini. Men en feil implementeringen har gjort det mulig for angripere å overskride denne grensen og injisere og kjøre kode.
Den nye versjonen er tilgjengelig via denne siden.
The PHP Group, som gir ut PHP, holder for tiden på med å finpusse versjon 5.4.0, som i går ble gjort tilgjengelig i en sjuende lanseringskandidat. PHP 5.4 skal inkludere flere språklige nyheter. Dessuten vil en del eldre og ikke-ønskelig funksjonalitet fjernes.
Les også:
- [30.12.2011] Sårbarhet rammer svært bredt
- [12.05.2010] Avslører en mengde PHP-sårbarheter
