Bekijk Volledige Versie : "PHP beveiligingsprobleem op miljoenen servers"
Gisteren kreeg ik de volgende nieuwsbrief van phpclasses.org binnen:
PHP Vulnerability May Halt Millions of Servers
A security vulnerability found in PHP and many other programming languages may allow attackers to halt servers with vulnerable PHP installations.
Read this article to learn more about this vulnerability and what you can do to avoid that your servers running PHP may be brought down due to this problem.
http://www.phpclasses.org/blog/post/171-PHP-Vulnerability-May-Halt-Millions-of-Servers.html
Ze raden in dit artikel aan om te upgraden naar een release candidate versie 5.4.0 RC4, iets wat php.net absoluut afraad op een productie server. Eerder deze week is wel 5.3.9 vrijgekomen die het probleem ook oplost.
Heb jij al last gehad hiervan, maak je jezelf zorgen hierom, of zal het allemaal wel meevallen?
Ik denk dat het allemaal wel mee zal vallen. Goed er is een vulnerability, maar dat wil nog niet zeggen dat die ook gebruikt wordt.
Sowieso wel slim om regelmatig te upgraden naar de laatste stable. Van tijd tot tijd zitten er kritieke fixes in, en voorkomen is beter dan genezen!
Het zal geen storm lopen, maar updaten kan geen kwaad. Niet updaten is een risicootje.
Kwestie van max_input_vars even toevoegen in de php.ini. Het artikel raad een lagere setting dan 1000 aan, phpMyAdmin kan daar dan wel last van krijgen. phpMyAdmin gaf al een tijd aan voor suhosin de setting te zetten op 2048. Ik heb 'm zelf op 1000 staan en phpMyAdmin werkt nog voor zover getest. Overigens is er alsnog is er wel een flinke load te veroorzaken met 1000 vars, als je meerdere requests gaat sturen (zonder fix was 1 request al genoeg om 1 core bezig te houden voor de tijd ingesteld in max_input_time). De max_input_time kun je ook verlagen, echter is dit ook de setting die bepaalt wat de max tijd is voor het uploaden van bestanden via php.
pfff een beetje overdreven..
dit is eigenlijk gewoon een verkapte DoS attack, dat noemen we toch ook geen exploit...
pfff een beetje overdreven..
dit is eigenlijk gewoon een verkapte DoS attack, dat noemen we toch ook geen exploit...
En het is ook geen probleem in PHP maar in speelt bij veel meer programmeertalen (bijvoorbeeld ASP): http://nakedsecurity.sophos.com/2011/12/28/large-percentage-of-websites-vulnerable-to-hashdos-denial-of-service-attack/.
Beetje 'oude' nieuws.
"Heb jij al last gehad hiervan" = nee;
"maak je jezelf zorgen hierom" = absoluut niet, enige waar ik (qua) code zorg maak zijn performance en data veiligheid;
of e.e.a. scriptkiddo gaat ddos-en, maak ik me niet druk om.
Waarom wordt hier zo neerbuigend over gedaan? Er zijn al scriptjes op internet te vinden waarmee een verveelde tiener op zijn school even je server plat kan leggen. Is toch een een veel lagere drempel dan een (D)Dos.
Ik heb de waarde nu op 500 staan, dat moet toch wel schelen, en heb ik tijd genoeg om mensen te blocken als ze het alsnog proberen.
Vanderblom
17/01/12, 20:45
Dus:
max_input_vars = 1000
Is voldoende ? ;)
asusk7m550
17/01/12, 23:24
Ik zou we wel degelijk zorgen gaan maken. Voor PHP is er al een exploid beschikbaar. Waarmee iedereen zonder problemen je server down kan brengen.
Ik heb het getest op mijn desktop pc met 1 thread. Daarbij werd 1 core voor een paar minuten 100% belast. Je hele server belasten is vanaf 1 internet verbinding te doen. En dan heb je nog genoeg ruimte over om ook nog andere dingen te doen.
Zelf raad ik iedereen aan om hier de juiste actie op te ondernemen. Zonder aanpassingen loop je gewoon de kan om door 1 computer te gedossed te worden. Mocht je willen weten of je hier ook last van heb, dan wil ik wel proberen of je er tegen kan.
Inmiddels is 5.3.10 uitgebracht ivm een bug die max_input_vars met zich mee bracht. http://www.h-online.com/security/news/item/Critical-PHP-vulnerability-being-fixed-Update-1427316.html
Snel updaten dus :)