パスワードを忘れた？ アカウント作成
Close
11168 story

PHP4.4.0以前と5.0.5以前に重大なセキュリティホール 67

ストーリー by Acanthopanax
register_globals=off 部門より

sacoz曰く、"IT Proの記事によると、Hardened-PHP ProjectによってPHP4の4.4.0以前のバージョンと5.0.5以前のバージョンに対して深刻なセキュリティーホールが発見されたとのこと。このセキュリティーホールを利用されると、リモートからPHPスクリプトを実行されてしまうらしい。"

また、Anonymous Coward曰く、"「ファイル・アップロードでグローバル・シンボル・テーブル$GLOBALSが書き換えられる」というものらしく、詳細については2005/11/03のyohgaki's blogの記事に解説がある。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

PHP4.4.0以前と5.0.5以前に重大なセキュリティホール More

  • 技術的な詳細は (スコア:3, 参考になる)

    by Anonymous Coward on 2005年11月04日 7時11分 (#825578)
    投稿の詳細: PHPの現行リリースに重大な脆弱性（PHP4.4.0以下、PHP5.0.5以下） [ohgaki.net]をご覧下さい。
    W3C準拠のサイトなのでW3C信者の方も安心して観覧できます。

    • Re:技術的な詳細は (スコア:3, すばらしい洞察)

      by s-tomo (2841) on 2005年11月04日 8時34分 (#825595) ホームページ 日記
      > W3C準拠のサイトなのでW3C信者の方も安心して観覧できます。

      おまい「Valid XHTML 1.0!」マークを見ただけでリンクたどってねーだろ。

      # Amazonめ......
      シェア
      親コメント

    • Re:W3C信者の方も安心 (スコア:2, おもしろおかしい)

      by Anonymous Coward on 2005年11月04日 7時30分 (#825580)
      アンチW3C信者なので、精神に深い苦痛を感じました。
      もっとステータスバーに文字が流れたり、
      BLINKタグを使用して、開いたとたんヘッポコMIDIが
      じゃんじゃん鳴り響き、隠しページがあるって事を
      ことさら強調するような、見てるだけでテンションが
      あがるページのほうが、飛び石連休の谷間な気分で
      気が利いてるんですけど無いですかそういうページ。

      ＃嘘です
      シェア
      親コメント

    • Re:技術的な詳細は (スコア:2, 興味深い)

      by Gimite (23147) on 2005年11月04日 13時15分 (#825792) ホームページ
      要するに、

      「自分はregister_globalsをonにしてる*1けど、ちゃんと
      $GLOBALS['hoge'] = array();
      とかやって変数を初期化してから使ってるから大丈夫」

      と思ってると、実は（PHP4.4.0以下、PHP5.0.5以下では）上の文では変数$hogeが初期化されない（ように攻撃者がしむけることができる）ので危ないよ、ということなんでしょうか？

      *1: import_request_variables()やそれと等価な処理を手書きした場合も含む。
      シェア
      親コメント
    • いくらW3C準拠でもレイアウトが崩れてちゃ意味がない。
      #ほらぁ、Googleアフリエイトのところ。

      • Re:えらそうなこというな (スコア:1, すばらしい洞察)

        by Anonymous Coward on 2005年11月04日 8時36分 (#825598)
        ポチットすると "This page is not Valid XHTML 1.0 Transitional!" って出ますね…
        シェア
        親コメント
      • アフ「ィ」リエイトじゃないの。
      • アフィリエイトの意味わかっていらっしゃる？
        提携型の公告(特定の企業と提携してそこ経由での売り上げの1割などが貰える)をアフィリエイトと呼ぶんですよ。
        Google Adsence はクリック式課金なのでアフィリエイトじゃありません。

        ついでにFirefoxやOperaだと全く崩れてないんですが、 どんなブラウザをお使いですかね？

        あなたがご利用のブラウザのCSS実装バグだと思いますが
        • よく見ると「Ads by Goooooogle」 の「e」が半分欠けてるようにも見えなくはないです。

          「o」が多すぎた？
          シェア
          親コメント
        • ieでも崩れないんだが…

          ますます何使ってるのか疑問ｗ
        • あなたこそアフィリエイトの意味がわかっていないようですね。

          Mozilla JapanはMozilla Foundationの公式アフィリエイトですが、多分、クリック数でお金をもらっていないと思いますよ。
          • はぁ
            私はクリック報酬型のGoogle Adsenceはアフィリエイトじゃないといったんですが。

            そもそもIT用語としてのアフィリエイトのこと
            IT用語辞典でひくとちゃんとでる

            アフィリエイト [srad.jp]
            • リンク先間違ってるぞ。 ここ [e-words.jp]な。

              ま、それは良いとして、アドセンスはアフィリエイトに含まれないとは書いてない。
              単にアフィリエイトの典型的１形態として「商品が売れた場合に報酬が発生する」という成果報酬型広告に付いて書かれているだけでしょう。
              また、はてなでの語義としては

              と、より広い意味で書かれているし、米

              • 広告を代理店中継して出したり貰ったりしてましたが、アドセンスを含むようなアフィリエイトの使い方は聞いたことが無いです。 あなたが引用したはてでも
                主にインターネットユーザーが広告掲載者のサイトを経由して広告主の商品を購入した際、広告主から広告掲載者に手数料が支払われるといった、成果報酬型のものを言う。アソシエイト・プログラムとも。
                という文章が続いているわけですが、それをあえて外している意図を教えてください。
              • ＞アドセンスを含むようなアフィリエイトの使い方は聞いたことが無いです。

                そんなに自分が世間知らずだと力いっぱい力説されても・・・
                ググってみなされ。いくらでもアドセンスを含んでアフィリエイトと言ってるサイトは出てくるから。

                ＞それをあえて外している意図を教えてください。

                その続いている部分は、アフィリエイトの典型的一形態である成果報酬型の仕組みに付いて説明しているだけで、クリック報酬型はアフィリエイトとは言わないとは書いてないでしょ。
                #825637以降では「アドセンスなどのクリック報酬型をアフィリエイトと呼ぶかどうか」に付いて話しているのに「成果報酬型をアフィリエイトと呼ぶ」という事を再確認しても何の意味も無いので外しただけですよ。
                あなたは世間知らずなだけではなく、論理学も苦手なようですね。

    • スラッシュドットはいつになったらW3C準拠になるの？
      本家はW3C準拠の HTML 4.01 + CSS なのに。
      テーブルレイアウトなんて重くてしょうがない。

      Yahoo! だって http://www.yahoo.com/ はCSSレイアウトなのに、
      http://www.yahoo.co.jp/ はテーブルレイアウトなんだろう。

  • またregister_globalsか！ (スコア:2, すばらしい洞察)

    by Anonymous Coward on 2005年11月04日 8時33分 (#825594)
    と思ったのは俺だけじゃないはずだ。

  • Bug Fix + Bug Addition (スコア:1, 参考になる)

    by Anonymous Coward on 2005年11月04日 11時31分 (#825707)
    PHP 4.1.1ではmb_send_mailの第5引数が使えない [php.gr.jp] ようなので、アップデートの際はご注意。

  • 随分と温度差があるな (スコア:0)

    by Anonymous Coward on 2005年11月04日 16時29分 (#825867)
    えらいこっちゃと大きく騒いでる所もあれば、
    ここの様にほとんどスルーというか嘲笑に近い所もある。
    PHPってそういう存在なのね。

    • Re:随分と温度差があるな (スコア:2, すばらしい洞察)

      by Elbereth (17793) on 2005年11月04日 18時07分 (#825908)
      慣れたところは、粛々とパッチを当てるだけ。
      それはWindowsだろうとLinuxだろうとPHPだろうと何だろうと同じではないかと。
      何も知らない一般ユーザーが重大な脆弱性だえらいこっちゃと騒ぐのは
      しょうがないとしても、システム管理者なら騒いでいるヒマで段取り組んで
      作業するのが一番いいでしょう。

      #と理想論を語ってみる週間。
      シェア
      親コメント

    • Re:随分と温度差があるな (スコア:1, すばらしい洞察)

      by Anonymous Coward on 2005年11月04日 18時30分 (#825919)
      前々からちゃんと対策してれば、今回のは大騒ぎする程の事じゃない

      具体的には、register_globalsからの脱却をとっくに済ましている人にとっては、さくっとパッチ当てるだけで済む話

      そうじゃない人が大騒ぎするだけで、そういう人は多分今後も騒ぐだろうね。
      どうせregister_globals絡みの脆弱性はこれが最後じゃないだろうし

      # ここがスルーなのは、わかってる層はとっくに居なくなってしまって、技術話の出来ない層しか残ってないからじゃないの？
      シェア
      親コメント
    • うん。松下御用達言語だとずっと思っていた。
    • ちなみに、大きく騒いでいるところはどこですか？
typodupeerror

日々是ハック也 -- あるハードコアバイナリアン