|
NBSO - NIC BR
Security Office Tradução dos Advisories do CERT/CC, com permissão especial do Software Engineering Institute (SEI). CERT® Advisory CA-2002-21 Vulnerabilidade no PHP
Data original de lançamento: 22 de julho de 2002
Um histórico completo das revisões pode ser encontrado ao final deste documento. Sistemas Afetados
ResumoUma vulnerabilidade foi descoberta no PHP. Esta vulnerabilidade pode ser usada por um atacante remoto para executar código arbitrário ou abortar a execução do PHP e/ou do servidor Web. I. DescriçãoPHP é uma linguagem de script popular, extensivamente usada. Para mais informações sobre PHP, veja: A vulnerabilidade ocorre na porção do código PHP responsável por tratar os uploads de arquivos, especificamente multipart/form-data. Pelo envio, para um servidor web, de uma requisição POST especialmente construída, um atacante pode corromper as estruturas de dados internas usadas pelo PHP. Especificamente, um intruso pode causar a liberação de uma estrutura de memória incorretamente inicializada. Na maior parte dos casos, um intruso pode usar esta falha para abortar o PHP ou o servidor web. Sob algumas circunstâncias, um intruso pode ser capaz de se aproveitar dessa falha para executar código arbitrário com os privilégios do servidor web. Você pode estar ciente que a liberação de memória em momentos inadequados, em algumas implementações das funções malloc e free, nem sempre resulta na execução de código arbitrário. Contudo, pelo fato de o PHP utilizar seu próprio sistema de gerenciamento de memória, a implementação de malloc e free é irrelevante para este problema. Stefan Esser, da e-matters GmbH, indicou que intrusos não podem executar código em sistemas x86. Entretanto, nós encorajamos os administradores de sistemas a aplicar as correções em sistemas x86, bem como ter cautela contra ataques de negação de serviço e outras técnicas de ataque ainda não conhecidas que possam permitir a execução de código em arquiteturas x86. Esta vulnerabilidade foi descoberta pela e-matters GmbH e é descrita em detalhes em seu advisory. O Grupo PHP também lançou um advisory. Uma lista de fornecedores contatados pelo CERT/CC, e seus status relativos a esta vulnerabilidade, está disponível em VU#929115. Embora esta vulnerabilidade afete apenas as versões de PHP 4.2.0 e 4.2.1, a e-matters GmbH identificou anteriormente vulnerabilidades em versões antigas de PHP. Se você está usando versões antigas de PHP, nós encorajamos você a ler: http://security.e-matters.de/advisories/012002.html II. ImpactoUm atacante remoto pode executar código arbitrário em um sistema vulnerável. Um atacante pode não ser capaz de executar código em arquiteturas x86 devido ao modo como a pilha é estruturada. Contudo, um atacante pode utilizar esta vulnerabilidade para abortar o PHP e/ou o servidor web executando em uma arquitetura x86. III. SoluçãoAplicar a correção disponibilizada pelo seu fornecedorO Apêndice A contém informações providas pelos fornecedores para este documento. À medida que os fornecedores enviarem novas informações ao CERT/CC, esta seção será atualizada e as modificações serão registradas no histórico de revisões. Se algum fornecedor em particular não estiver listado abaixo é porque não recebemos seus comentários. Por favor, contacte seu fornecedor diretamente. Fazer uma atualização para a última versão do PHPSe uma correção não foi disponibilizada pelo seu fornecedor, faça uma atualização para a versão 4.2.2. Negar requisições POSTAté que uma correção ou uma atualização possam ser feitas, você pode desejar negar as requisições de POST. A seguinte solução provisória foi retirada do Advisory de Segurança do PHP:
Desativar serviço vulnerávelAté você poder atualizar ou aplicar as correções, você pode querer desativar o PHP. Como boa prática, o CERT/CC recomenda desativar todos os serviços que não são explicitamente requeridos. Antes de decidir pela desabilitação do PHP, considere os requerimentos do seu serviço. Apêndice A. - Informações dos FornecedoresEste apêndice contém informações providas pelos próprios fornecedores para inclusão neste documento. À medida que os fornecedores enviarem novas informações ao CERT/CC, este documento será atualizado e as modificações serão registradas no histórico de revisões. Se algum fornecedor em particular não estiver listado abaixo é porque não recebemos seus comentários. Apple Computer Inc.
Caldera
Compaq Computer Corporation
Cray Inc.
Debian
FreeBSD
Guardian Digital
Hewlett-Packard Company
IBM
Mandrakesoft
Microsoft Corporation
Network Appliance
Red Hat Inc.
SuSE Inc.
O CERT Coordination Center agradece à e-matters GmbH por ter descoberto e reportado esta vulnerabilidade. Autor: Ian A. Finlay. Tradução: Fábio de Oliveira Revisão Técnica: Cristine Hoepers e Rafael Obelheiro Esta versão traduzida do documento pode ser obtida em: http://www.nbso.nic.br/certcc/advisories/CA-2002-21-br.html A versão original, em Inglês, deste documento pode ser obtida em: http://www.cert.org/advisories/CA-2002-21.htmlInformações de Contato do CERT/CC
O pessoal do CERT/CC atende ao hotline no período das 8:00 às 17:00h EST(GMT-5), de segunda a sexta-feira; nos demais períodos eles atendem em esquema emergencial, incluindo finais de semana e feriados dos Estados Unidos. Utilização de criptografiaNós recomendamos fortemente que informações sensíveis sejam criptogradas ao serem enviadas por email. Nossa chave pública PGP está disponível em: Se você preferir utilizar DES, por favor telefone para o hotline do CERT para obter maiores informações. Obtendo informações sobre segurançaAs publicações do CERT e outras informações sobre segurança estão disponíveis em nosso site:
Para inscrever-se na lista de advisories e boletins do CERT, envie um
email para majordomo@cert.org,
incluindo o seguinte no corpo da sua mensagem: subscribe cert-advisory * "CERT" and "CERT Coordination Center" are registered in the U.S. Patent and Trademark Office. Translations of CERT/CC Advisories, (c) 2002 by Carnegie Mellon University, with special permission from the Software Engineering Institute. Accuracy and interpretation of this translation are the responsibility of NBSO. The SEI has not participated in this translation. NBSO shall ensure that all translated materials incorporate the CERT/CC logos, service marks, and/or trademarks, as well as a link to the original English version on the CERT web site (www.cert.org). NBSO shall ensure that all translated materials are translated in their entirety and that the SEI will be notified of which CERT/CC Advisories are being translated. Notifications go to cert@cert.org. NO WARRANTY. THIS CARNEGIE MELLON UNIVERSITY AND SOFTWARE ENGINEERING INSTITUTE MATERIAL IS FURNISHED ON AN "AS IS" BASIS. CARNEGIE MELLON UNIVERSITY MAKES NO WARRANTIES OF ANY KIND, EITHER EXPRESSED OR IMPLIED AS TO ANY MATTER INCLUDING, BUT NOT LIMITED TO, WARRANTY OF FITNESS FOR PURPOSE OR MERCHANTABILITY, EXCLUSIVITY OR RESULTS OBTAINED FROM USE OF THE MATERIAL. CARNEGIE MELLON UNIVERSITY DOES NOT MAKE ANY WARRANTY OF ANY KIND WITH RESPECT TO FREEDOM FROM PATENT, TRADEMARK, OR COPYRIGHT INFRINGEMENT. CMU Indemnification. NBSO hereby agrees to defend, indemnify, and hold harmless CMU, its trustees, officers, employees, and agents from all claims or demands made against them (and any related losses, expenses, or attorney's fees) arising out of, or relating to NBSO's and/or its sublicensees' negligent use or willful misuse of or negligent conduct or willful misconduct regarding CMU in tellectual Property, facilities, or other rights or assistance granted by CMU under this Agreement, including, but not limited to, any claims of product liability, personal injury, death, damage to property, or violation of any laws or regulations. This indemnification will not apply to claims by third parties which allege that CMU Intellectual Property infringes on the intellectual property rights of such third parties, unless such infringement results from NBSO modifying CMU Intellectual Property or combining it with other intellectual property. Disputes. This Agreement shall be governed by the laws of the Commonwealth of Pennsylvania. Any dispute or claim arising out of or relating to this Agreement will be settled by arbitration in Pittsburgh, Pennsylvania in accordance with the rules of the American Arbitration Association and judgment upon award rendered by the arbitrator(s) may be entered in any court having jurisdiction. No Endorsement. The SEI and CMU do not directly or indirectly endorse NBSO work. Translations of CMU/SEI copyrighted material are not official SEI-authorized translations. NBSO agrees to assign and transfer to CMU/SEI all copyrights in the translation of any CMU/SEI document. This permission is granted on a non-exclusive basis for non-commercial purposes. Conditions for use, disclaimers, and sponsorship information Copyright 2002 Carnegie Mellon University.
Histórico de Revisões |
NBSO -- NIC BR Security Office$Date: 2005/06/14 13:03:34 $ |