{"id":101561,"date":"2021-10-07T10:23:03","date_gmt":"2021-10-07T08:23:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-php-pozvolyayushhaya-obojti-ogranicheniya-zadannye-v-php-ini"},"modified":"2021-10-07T10:23:03","modified_gmt":"2021-10-07T08:23:03","slug":"uyazvimost-v-php-pozvolyayushhaya-obojti-ogranicheniya-zadannye-v-php-ini","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimost-v-php-pozvolyayushhaya-obojti-ogranicheniya-zadannye-v-php-ini","title":{"rendered":"Vulnerabilidad en PHP que permite eludir las restricciones establecidas en php.ini","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha publicado un m\u00e9todo para eludir en el int\u00e9rprete de PHP las restricciones establecidas mediante la directiva disable_functions y otras configuraciones en php.ini. Recordemos que la directiva disable_functions permite prohibir el uso en los scripts de ciertas funciones internas, como se puede prohibir 'system, exec, passthru, popen, proc_open y shell_exec' para bloquear la llamada a programas externos o fopen para prohibir la apertura de archivos. <\/p>\n
Es notable que el exploit propuesto utiliza una vulnerabilidad de la que los desarrolladores de PHP fueron informados hace m\u00e1s de 10 a\u00f1os, pero la consideraron un problema irrelevante y no afectaba la seguridad. El m\u00e9todo de ataque propuesto se basa en modificar los valores de los par\u00e1metros en la memoria del proceso y funciona en todas las versiones recientes de PHP, comenzando desde PHP 7.0 (el ataque tambi\u00e9n es posible en PHP 5.x, pero se requieren cambios en el exploit). El exploit ha sido probado en varias configuraciones de Debian, Ubuntu, CentOS y FreeBSD con PHP en forma de cli, fpm y m\u00f3dulo para apache2. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"