[PHP-users 5746] Re: FIY: PHP ファイルアップロードの脆弱性

[ＣＧＩ Ｆａｃｔｏｒｙ]

野中です。

みなさん、こんにちは。

機械翻訳したものを簡単にまとめましたので、添付します。
誤訳などの指摘がありましたら宜しくお願いします。

ファイルアップロード機能をお使いの方はご注意下さい。


以上。

−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−
PHPを実行するウェブ・サーバー

■概観

多数の脆弱は言語をスクリプトにするPHPに存在します。
これらの脆弱は、遠隔の攻撃者がPHPプロセスの特権を備えた任意のコードを実行することを可能にすることができました。

I. 記述

php_mime_split機能中の脆弱は、侵入者がウェブ・サーバーの特権を備えた任意のコードを実行することを可能にするかもしれません。

II. インパクト

侵入者は、ウェブ・サーバーの特権(すなわちウェブ・サーバーの割り込み標準オペレーション)を備えた任意のコードを実行することができます。

III. 解決

■パッチの適用

PHPバージョン4.1.2にアップグレード：
http://www.php.net/do_download.php?download_file=php-4.1.2.tar.gz

アップグレードが可能でない場合、http://www.php.net/downloads.phpで記述されるようなパッチを適用してください。

各PHPにおけるバッチ：
PHP 3.0       http://www.php.net/do_download.php?download_file=mime.c.diff-3.0.gz
PHP 4.06      http://www.php.net/do_download.php?download_file=rfc1867.c.diff-4.0.6.gz
PHP 4.10/4.11 http://www.php.net/do_download.php?download_file=rfc1867.c.diff-4.1.x.gz

バージョン4.20-devを使用していれば、影響されません：
http://security.e-matters.de/advisories/012002.htm

「fileuploadコードが4.2.0用に完全に書き直されたので、cvsからのPHP 4.2.0-devを実行するユーザは、記述されたバグのうちのいかなるものにでも弱くありません。」

■fileuploadsを不能にする

アップグレードが可能でないか、パッチは適用することができない場合、fileupload支援を不能にすることによりこれらの脆弱を回避することができます。
以下のようにPHP配置ファイルphp.iniを編集します:

file_uploads=off

このセッティングがバージョン4.0.3およびの上にに単に当てはまることに注意してください。
しかしながら、これは、fileuploads(それらはあなたの環境において受理可能でないかもしれない)を使用するのを妨げるでしょう。



------------------------------------
cf@cs-w.com
http://www.cs-w.com/cf
http://vi.ath.cx/cf/