CERT-FI haavoittuvuustiedote 090/2009

22.9.2009

Päivitys PHP-ohjelmointikieleen

Kohde:	- palvelimet ja palvelinsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - palvelunestohyökkäys - suojauksen ohittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

PHP on verkkosovellusten tekoon usein käytetty ohjelmointikieli. PHP:n uusin versio 5.2.11 korjaa useiden toimintoihin liittyviin virheisiin lisäksi neljä haavoittuvuutta. Haavoittuvuuksien vaikutuksista on julkaistu melko vähän tietoa.

Ensimmäinen haavoittuvuus liittyy varmenteiden varmistamiseen, jolloin sen avulla lienee mahdollista erehdyttää palvelu hyväksymään tietyllä tavalla muokatun varmenteen.

Haavoittuvuus kaksi liittyy kuvatiedostojen metatiedostojen käsittelyyn. Haavoittuvuuksien vaikutuksista ei ole julkistettu tietoa. Haavoittuvuus kolme liittyy puolestaan kuvatiedostojen värien käsittelyyn, ja vaikuttaa PHP:n lisäksi GD-grafiikkakirjastoon.

Neljäs haavoittuvuus on popen-funktion käsittelyssä Windows-alustalla. Haavoittuvuuden avulla on mahdollista aiheuttaa kohdejärjestelmässä palvelunestotila.

HAAVOITTUVAT OHJELMISTOT:

• PHP 5 ennen versioita 5.3.1 ja 5.2.11
• GD-kirjaston 2-sarjan versiot
  

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva ohjelmista valmistajan ohjeiden mukaisesti.

LISÄTIETOA:

• http://www.php.net/ChangeLog-5.php#5.2.11
• http://www.php.net/releases/5_2_11.php
• http://www.php.net/releases/5_3_1.php
• http://news.php.net/php.announce/79
  
• http://www.openwall.com/lists/oss-security/2009/09/22/7
• http://www.openwall.com/lists/oss-security/2009/10/15/13
  
• CVE-2009-3291
• CVE-2009-3292
• CVE-2009-3293
• CVE-2009-3294
• CVE-2009-3546
  

PÄIVITYSHISTORIA:

22.9.2009, kello 15.10: Julkaistu
21.10.2009, kello 15.20: Lisätty tieto GD-haavoittuvuuksista
20.11.2009, kello 16.55: Lisätty tieto versiopäivityksestä 5.3.1

Sivua päivitetty 23.12.2009

Tulostusversio