The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Обновление PHP 5.5.12 с устранением уязвимости в PHP-FPM

01.05.2014 16:36

Доступен корректирующий выпуск интерпретатора языка программирования PHP 5.5.12, в котором отмечено 21 исправление. В расширении PHP-FPM (менеджер процессов FastCGI) устранена уязвимость (CVE-2014-0185), позволяющая локальному пользователю, имеющему доступ к UNIX-сокету php-fpm, по умолчанию создаваемому с правами 0666, выполнить произвольный PHP-код с правами работающего пула процессов FastCGI (например, в Ubuntu 14.04 можно выполнить код под пользователем www-data).

  1. Главная ссылка к новости (http://php.net/index.php#id201...)
  2. OpenNews: Обновление PHP 5.5.11
  3. OpenNews: Facebook представил Hack, вариант языка PHP со статической типизацией
  4. OpenNews: Начало тестирования PHP 5.6.0
Лицензия: CC-BY
Тип: Программы
Ключевые слова: php
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение (6) Ajax/Линейный | Раскрыть все сообщения | RSS
 
  • 1.4, PavelR (??), 17:28, 01/05/2014 [ответить] [показать ветку] [···]    [к модератору]
  • +/
    И как они это пофиксили? Баг помечен "приватным", конечно, супердыра жеж - надо скрыть, что по дефолту теперь не 666 а 660, да.

    Прописывать "listen.mode = 0660" уже не в почете, понимаю, да.


    Или они как-то по-другому это поправили и теперь "локальный пользователь, даже имеющий доступ к UNIX-сокету php-fpm, по умолчанию созданному с правами 0666, _НЕ СМОЖЕТ_ выполнить произвольный PHP-код с правами работающего пула процессов" ??

     
     
  • 2.5, Мимо шёл упырь (?), 18:47, 01/05/2014 [^] [ответить]    [к модератору]
  • +/
    Поменяли дефолтные права?
     
  • 1.9, EuPhobos (ok), 23:42, 01/05/2014 [ответить] [показать ветку] [···]    [к модератору]
  • +/
    Что за глупость, само собой если процесс запущен от некого пользователя и пул доступен всем, код будет выполнен от запустившего этот процесс..
     
     
  • 2.10, Аноним (-), 08:21, 02/05/2014 [^] [ответить]     [к модератору]
  • +/
    fpm запускает php-скрипты пользователей с правами этих пользователей Уязвимость... весь текст скрыт [показать]
     
     
  • 3.11, www2 (??), 14:09, 02/05/2014 [^] [ответить]    [к модератору]  
  • +/
    Но ведь это же костыли. Раз админ назначил такие права - значит это либо нужно, либо он сам дурак. Запрещать делать опасное нормальным админам только лишь для того, чтобы идиоты не выстрелили себе в ногу - ненормальная практика. Может быть именно это админ и имел в виду - дать всем локальным пользователям, например, менять свой пароль. Или перемонтировать диски (мало ли).

    А тут кто-то решает, что так делать нельзя, потому что есть толпа дураков, которые не осознают опасности и дают доступ всем на всё подряд. После этого для дураков всё остаётся как и прежде, только разумным людям теперь приходится прилагать дополнительные усилия, чтобы обеспечить штатную работу системы (например - включать всех пользователей в специально созданную для этого группу).

     
  • 3.12, Sw00p aka Jerom (?), 15:04, 02/05/2014 [^] [ответить]    [к модератору]  
  • +/
    >обойти ограничение на запуск скрипта только под своими правами.

    как так, если socket owner явно указан? дело в правах на запись остальным пользователям

     

     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:


    Закладки на сайте
    Проследить за страницей
    Created 1996-2019 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру
    Hosting by Ihor