Re[2]: [php] upload-sicherheitsluecke

[Marc Linke]

Hi,

Am Donnerstag, 28. Februar 2002 um 14:31 schrieben Sie:

>> > Mit dieser Geheimniskraemerei laesst man den Anwender im
>> > Dunkeln stehen und zeigt Angreifern, wo sie ansetzen muessen.
>> > Alles andere ist einfach unverantwortlich...
>> Ja. Fand ich auch recht negativ. Ich bin auf den Bug auch nur
>> dadurch aufmerksam geworden, das Rasmus in einem voellig anderen
>> Bugreport davon sprach.

Naja, es verschafft uns aber etwas Zeit.

NP> je-nun,
NP> aber WAS bewirkt der Bug und durch WAS wird er ausgeloest ?
NP> - zu grosse Dateien -> wo waere die Grenze ?
NP> - oder was weiss ich denn... ;-)

Ich vermute eher das es um Größe und Art der POST Daten geht,
also z.b. der Dateiname oder komplett gefälschte Daten - irgendwas
in der Richtung.

NP> IMHO verwenden Millionen Scripte diese Funktionalitaet.
NP> Wenn es also was gravierendes waere, muesste das doch schon
NP> mal aufgefallen sein...

Nach meiner Meinung ist das nicht nur ein wirklich ernster
Bug, ich denke das ist tatsächlich ein GAU!
Ich bin sicher Horden von Scriptkiddies auf der ganzen
Welt arbeiten bereits daran diesen Bug auszunutzen. Da es wohl
möglich ist das feindlicher Code ausgeführt wird ist es nur
noch eine Frage der Zeit bis linux/PHP "ihren" CodeRed Worm
bekommen. Und wie viele Server da draussen stehen auf denen
eine verwundbare PHP Version installiert ist...

bye.


_________________________________________________________
Do You Yahoo!?
Get your free _(at)_yahoo.com address at http://mail.yahoo.com