En metode til at omgå begrænsninger i PHP’s fortolker, styret af direktivet disable_functions og andre indstillinger i php.ini, er blevet offentliggjort. Det er vigtigt at bemærke, at direktivet disable_functions giver mulighed for at forbyde brugen af bestemte indbyggede funktioner i scripts, for eksempel kan man forbyde "system, exec, passthru, popen, proc_open og shell_exec" for at blokkere kald til eksterne programmer eller fopen for at forhindre åbning af filer.
Det er bemærkelsesværdigt, at den foreslåede udnyttelse er baseret på en sårbarhed, som PHP-udviklerne blev informeret om for mere end 10 år siden, men som de anså for ikke at være en væsentlig sikkerhedsproblematik. Den foreslåede angrebsmetode er baseret på ændring af parameterværdier i procesens hukommelse og fungerer i alle aktuelle PHP-versioner fra PHP 7.0 (angrebet kan også udføres på PHP 5.x, men kræver ændringer i udnyttelsen). Udnyttelsen er blevet testet i forskellige konfigurationer af Debian, Ubuntu, CentOS og FreeBSD med PHP i form af cli, fpm og som modul til apache2.
Kilde: opennet.ru
