PHP publiceert defecte patch voor ernstig lek
PHP heeft een beveiligingsupdate voor een zeer ernstig lek in de software uitgebracht, maar die blijkt niet te werken. Gisteren werd per ongeluk een groot gat in de populaire scripttaal geopenbaard, waardoor aanvallers kwetsbare servers konden overnemen. Het lek, dat door een groep Nederlandse hackers genaamd Eindbazen was ontdekt, was al maanden bij PHP bekend, maar een update liet op zich wachten.
Door nog onbekende reden werd de bugmelding gisteren opeens publiek toegankelijk, waarna die op het web belandde. De Eindbazen besloten hun advisory over het beveiligingslek dan ook te publiceren.
Noodpatch
PHP kwam gisteren met een noodpatch, maar die blijkt defect. "De update voor het PHP CGI-lek, die dagen lang getest zou zijn, verhelpt helemaal niets", aldus PHP-beveiligingsexpert Stefan Esser op Twitter. "Ze blijven dit soort blunders keer op keer herhalen."
Esser was onderdeel van het PHP Security Response Team, maar verliet de organisatie in 2006. De PHP Group zou namelijk alle pogingen om de populaire scripttaal veiliger te maken saboteren.
Ook de Eindbazen bevestigen dat PHP 5.3.12 en PHP 5.4.2, alsmede de officiële mod_rewrite oplossing het probleem niet verhelpen. 77,6% van alle websites op het internet gebruikt PHP.
Update 12:30
Stefan Esser haalt op Twitter hard uit naar PHP. "Typisch PHP, dat als ze beseffen dat hun patch stuk is, ze geen waarschuwing op de frontpage plaatsten. Nu downloadt iedereen de defecte update. En als ze vandaag 5.4.3 en 5.3.13 uitbrengen, moeten al die mensen het opnieuw downloaden."
Esser gaat verder: "Maar ze denken misschien dat ze [de laatste versie] al hebben. Als een systeembeheerder vandaag de update installeert en morgen een waarschuwing op een nieuwssite ziet, denkt hij dat hij de update al gedaan heeft."
Inmiddels is er ook een exploit aan hackertool Metasploit toegevoegd, maar die blijkt bepaalde functies niet uit te schakelen.
Gelukkig is slechts een klein deel hiervan kwetsbaar voor deze bug.
Gelukkig is slechts een klein deel hiervan kwetsbaar voor deze bug.
Waaronder facebook, kind of. (Doh.)
http://facebook.com/?-s
Dat is het 'm juist: FCGI is niet kwetsbaar, alleen klassieke CGI. Zie ook de FAQ van de Eindbazen.
De "platte" CGI implementatie van PHP is een optie die door vrijwel niemand wordt gebruikt, de meest voorkomende zijn apache modules of fastCGI.
Overigens is Stefan Esser voor PHP wat Florian Mueller voor opensource en patenten is, een grote troll wiens volledige bedrijfsmodel draait op het zwartmaken van de reguliere initiatieven.
Nee, de PHP core ontwikkelaars hebben zeker geen schone handen als het gaat om quality assurance en testing, hoewel dat de laatste jaren bijzonder sterk verbeterd is, schijnbaar raakt Stefan hierdoor teveel business kwijt en moest er weer eens geschopt worden...
Update 12:30
Stefan Esser haalt op Twitter hard uit naar PHP. "Typisch PHP, dat als ze beseffen dat hun patch stuk is, ze geen waarschuwing op de frontpage plaatsten. Nu downloadt iedereen de defecte update. En als ze vandaag 5.4.3 en 5.3.13 uitbrengen, moeten al die mensen het opnieuw downloaden."
Hoe het bij ASP.net is kan ik geen uitspraken over doen, geen ervaring mee.
Update 12:30
Stefan Esser haalt op Twitter hard uit naar PHP. "Typisch PHP, dat als ze beseffen dat hun patch stuk is, ze geen waarschuwing op de frontpage plaatsten. Nu downloadt iedereen de defecte update. En als ze vandaag 5.4.3 en 5.3.13 uitbrengen, moeten al die mensen het opnieuw downloaden."
Java? Nee dat is echt veiliger, wat Sun laakte in veiligheid zet Oracle moedeloos door.
Ik werk zelf met PHP, en er is prima mee te werken.
Iedere taal heeft zijn/haar quirks rariteiten, Perl 6 is al meer dan 10 jaar ontwikkeling en nog niet stable.
Het zelfde gelde voor PHP6 (IE6?, Windows Vista NT 6.0?! - Is dit nummer soms vervloekt!?)
PHP op zich zelf niet slecht maar de meeste ontwikkelaars van PHP doen niet echt hun best.
De bedenker zelf bijvoorbeeld https://en.wikiquote.org/wiki/Rasmus_Lerdorf
En de grote baas Zend Technologies, een jaar na de uitgave van PHP 5.3 was er nog steeds geen compatible versie van Zend optimizer beschikbaar! Ze werken er zelf aan mee, maar kunnen niet op tijd leveren.
Sinds PHP 5.4 is het gelukkig al een stuk serieuzer geworden maar ze hebben nog een lange weg te gaan.
Beste zou zijn om net als Python 3.0 een compleet nieuwe versie uit te geven die compleet niet terugwaarts compatible is en dan alle troep en inconsistentie functienamen er uit te gooien.
In ieder geval dit: http://www.hardened-php.net/
Chears
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
