Weblabor

Ha már az előző hírnél szóba hoztam a Zend Encodert, rögtön eszembe is jutott, hogy a héten jelent meg egy vadiúj (szintén nem ingyenes, ám a Zend szolgáltatásnál sokkal jobb árakkal rendelkező) konkurrense, az ionCube PHP Encoder.

A program előnyei: szkriptjeink erős védelme a lefordított kód titkosításával, olcsóság, teljes PHP kompatibilitás, beleértve pl. a __FILE__ kódolását is, amelybe más titkosítóknak már beletört a bicskája, nagyon gyors dekódolás, valamint teljesen biztonságos támogatás a PHP Accelerator következő (a héten megjelenő) verziója által.

Az árakra jellemző, hogy például a SquirrelMail közel harmincháromezer soros forráskódját is csak 30 dollárért kódolják el.

Bővebb információ, letöltés a honlapon: http://www.ioncube.com/encoder/

Tegnaptól érhető el a Zend Optimizer legújabb változata, amely már teljeskörűen támogatja a PHP 4.2.x változatait is. Az ingyenes Zend Optimizer a Zend Encoder által titkosított fájlokat dekódolja és futtatja, egyben pedig gyorsítani tudja a PHP kód futását Apache 1.3.x, IIS 4 és 5, valamint Zeus szervereken. Letölthető Linuxokra, Sparc platformú Solarisra, FreeBSD-re és Windowsokra a következő címről:

http://www.zend.com/store/products/zend-optimizer.php

A Zend szokásos heti hírlevelének 95. számából:

PHP hírcsoport indult - azok számára, akik szívesen olvasgatják a hírcsoportokat, érdekfeszítő hír a kétségkívül teljesen "nyilvános" PHP hírcsoport, a comp.lang.php elindulása. A közel három hónapos folyamat megérte a várakozást, hiszen megszilárdítja a PHP helyét a USENET hierarchiában a comp.lang. alatt szereplő programozási nyelvek mellett. A hír írásakor az új csoportnak már ott kellene lennie minden helyi hírkiszolgálón.

A kézikönyv arab fordítása - jól halad, számos önkéntes jelentkező segítségének köszönhetően. Ám ha van itt olyan, aki jól tud arabul és angolul is, nem akar esetleg besegíteni? Ez lesz a 14. nyelv, amelyen a PHP dokumentáció elérhető.

Közlemény kibocsátva: 2002. július 22.
Érintett szoftverek: PHP 4.2.0 és 4.2.1
Platformok: Mind

A PHP Csoport komoly biztonsági sebezhetőségre bukkant a PHP 4.2.0 és 4.2.1 változatokban, amely eredményeként egy behatoló akár tetszőleges kódot is futtathat a webkiszolgáló jogosultságaival. A sebezhetőséget a webkiszolgáló kompromittálására, illetve bizonyos körülmények között jogosultságok megszerzésére is kihasználhatják illetéktelenek.

A PHP intelligens módon elemzi a HTTP POST lekérések fejléceit. A kód a böngésző által küldött "multipart/form-data" lekérések változóit és fájljait választja szét, ám hiányos a bemeneti ellenőrzése, ez vezet sebezhetőséghez.

A sebezhetőséget bárki kihasználhatja, aki HTTP POST lekéréseket tud küldeni az érintett webkiszolgálónak. Mind helyi, mind távoli felhasználók szerezhetnek így jogosulatlan hozzáférést a kiszolgálón, akár tűzfal mögött is.

A 32 bites IA platformokon (azaz Intel vagy AMD processzorú gépeken) a sebezhetőséget nem lehet kihasználni, ugyanis az architektúra felépítése (a stackek kiosztása) folytán ellenőrizhetetlen, hova kerül az inicializálatlan kódrész. Ennek eredményeként az IA32 platformon az nem fut le, viszont nagy valószínűséggel összeomlasztja a PHP-t, és gyakran a webkiszolgálót is.

A PHP csoport a sebezhetőség elhárítására új PHP verziót tett közre, és nyomatékosan felhívja a PHP 4.2.0 és 4.2.1 változatok használóit, hogy frissítsenek a hibát javító 4.2.2 változatra. Mind a forráskód, mind a windows telepítő, valamint a patchek letölthetőek a php.net oldalról, illetve magyarországi tükörszerverekről, a hu.php.net és a hu2.php.net címekről.