Gevaarlijk lek ontdekt in PHP (onder CGI-modus)

Voor de PHP-kenners:

Er is een zeer gevaarlijk lekje opgedoken in de wereld van PHP....

Quote:
PHP-installaties die via cgi worden aangeroepen, kunnen eenvoudig worden misbruikt. Op afstand kunnen argumenten aan het cgi-script worden toegevoegd, waardoor bijvoorbeeld code kan worden uitgevoerd of de broncode gedumpt.

Omdat alleen PHP-installaties die php-cgi gebruiken of via een cgi-wrapper draaien kwetsbaar zijn, valt de impact mee: vaker wordt PHP als Apache-module of via fastcgi geconfigureerd. Wel gebruiken sommige shared hosting-providers nog de - overigens weinig efficiënte - php-cgi-implementatie of cgi-wrappers.
[..]
Om bijvoorbeeld de broncode van index.php integraal uit te draaien, is het opvragen van /index.php?-s voldoende.

Zie ook: http://tweakers.net/nieuws/81743/php-onder-cgi-is-kwetsbaar-door-ernstige-bug.html

Wat vinden jullie hier nu van van?
Er zijn gelukkig naar mijn weten niet echt extreem veel server die (nog?) PHP in CGI draaien, maar toch wel een handje vol....

Naast dat het zeer gevaarlijk is, is het gewoon slordig dat dit niet op tijd gedicht is (al 8 jaar), en dat de bugmelding gewoon uitgelekt is. En zeg nou zelf, elke kleuter kan dit lek gewoon al opentrekken met een simpele aanpassing in de URL-balk.

Wat vinden jullie hier van?

Belachelijk gewoon, maarja, als nog goed dat het lek wel gemeld is en er geen misbruik van gemaakt is.

Milan schreef:

Belachelijk gewoon, maarja, als nog goed dat het lek wel gemeld is en er geen misbruik van gemaakt is.

ik heb gisteren al een handje vol sites gezien met die vulnarabilty.
Kijk maar:
http://tweakers.net/nieuws/81774/zakelijke-webhostingdienst-kpn-was-kwetsbaar-voor-ernstig-php-lek.html

Ik vind het wel laat dat ze er achter zijn gekomen.
Maar veel grote instanties gebruiken dit nog zelfs universiteiten vind het raar dat die dan in de tijd blijven hangen.

Ik geloof dat de server waar ik op draai niet lek is
toevoeging op 4 mei 2012, 17:08:31:
Gelukkig maar

Sevvlor schreef:

Ik geloof dat de server waar ik op draai niet lek is

toevoeging op 4 mei 2012, 17:08:31:
Gelukkig maar

kan je uittesten met een phpinfo()
Als er dit staat:

Quote:
Server API Apache 2.0 Handler

Niks aan het handje, staat er iets van CGI, dan heb je kans op een gratis kijkje in je broncode.

Sowieso apart dat een hoop (professionele)grote bedrijven en overheidsinstanties websites hebben die uit 1995 lijken te komen en vaak nog slechter zijn gemaakt dan de websites van leden hier (hiermee geef ik niet aan dat de websites hier slecht zijn, integendeel, maar je verwacht toch van een overheid dat ze wel het beste van het beste hebben...)

Kyron schreef:

Sowieso apart dat een hoop (professionele)grote bedrijven en overheidsinstanties websites hebben die uit 1995 lijken te komen en vaak nog slechter zijn gemaakt dan de websites van leden hier (hiermee geef ik niet aan dat de websites hier slecht zijn, integendeel, maar je verwacht toch van een overheid dat ze wel het beste van het beste hebben...)

Overheid neemt alleen bedrijven aan met een minimum winst, jammer genoeg vragen die vaak veel geld voor slecht werk.

@Alemaaltje: Niets met winst te maken. De overheid moet al hun werk uitbesteden via een uitbesteding zodra het boven een bedrag van €500.000 komt. De echt grote websites van de overheid zitten dan ook wel goed in elkaar. Daar komen ook nog een heleboel "offline" systemen bij.

Mr dan nog Rogier, hele fracties die als wachtwoord "Welkom" hebben, waar slaat dat op.

Kyron schreef:

Sowieso apart dat een hoop (professionele)grote bedrijven en overheidsinstanties websites hebben die uit 1995 lijken te komen en vaak nog slechter zijn gemaakt dan de websites van leden hier (hiermee geef ik niet aan dat de websites hier slecht zijn, integendeel, maar je verwacht toch van een overheid dat ze wel het beste van het beste hebben...)

Van de overheid verwacht ik niks kwa kwaliteit websites hoor.

@ontopic: Slecht, maar beter laat dan nooit.

Rogier schreef:

@Alemaaltje: Niets met winst te maken. De overheid moet al hun werk uitbesteden via een uitbesteding zodra het boven een bedrag van €500.000 komt. De echt grote websites van de overheid zitten dan ook wel goed in elkaar. Daar komen ook nog een heleboel "offline" systemen bij.

Dat is min of meer wat ik zei hoor.

@kyron: @freestyle:

De overheid waar ik het over had is de rijks overheid. En je kan veel zeggen hoor maar de websites van de rijksoverheid zitten prima in elkaar. De gemeente is zelf verantwoordelijk voor zijn website. De gemeente heeft niet genoeg geld om een bedrijf in te huren voor het onderhoud. Dat moeten de ambtenaren zelf doen, en die hebben er natuurlijk de ballen verstand van...

@alemaalte: Nee, want een bedrijf hoeft geen min winst te hebben. Elke opdracht die de overheid uitschrijft boven de €500.000 moeten een soort "wedstrijd" gehouden worden. Wie dat wint krijgt de opdracht.

Aarclay schreef:

Eerdere citaten tonen

Sevvlor schreef:

Ik geloof dat de server waar ik op draai niet lek is

toevoeging op 4 mei 2012, 17:08:31:
Gelukkig maar

kan je uittesten met een phpinfo()
Als er dit staat:

Quote:
Server API Apache 2.0 Handler

Niks aan het handje, staat er iets van CGI, dan heb je kans op een gratis kijkje in je broncode.

Bij mijn xammp staat er bij
GATEWAY_INTERFACE CGI/1.1
_SERVER["GATEWAY_INTERFACE"] CGI/1.1
GATEWAY_INTERFACE CGI/1.1
hoe kan je dat weghalen?

Niet, het zijn server gegevens die aan PHP worden doorgegeven. Of je moet PHP gaan hacken en slopen en hercompileren als je dit eruit wilt halen. Niet echt de moeite waard. Wel kan je phpinfo(); blokkeren in php.ini.

Als je met ?-s in je URL je broncode ziet, dan ben je vatbaar..
Dus www.website.nl/?-s.

Zie je PHP-sourcecode, dan ben je het haasje, zie je gewoon de pagina zonder PHP-code, dan is er niks aan het handje.