{"id":101561,"date":"2021-10-07T10:23:03","date_gmt":"2021-10-07T08:23:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-php-pozvolyayushhaya-obojti-ogranicheniya-zadannye-v-php-ini"},"modified":"2021-10-07T10:23:03","modified_gmt":"2021-10-07T08:23:03","slug":"uyazvimost-v-php-pozvolyayushhaya-obojti-ogranicheniya-zadannye-v-php-ini","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-php-pozvolyayushhaya-obojti-ogranicheniya-zadannye-v-php-ini","title":{"rendered":"Vulnerabilit\u00e0 in PHP che consente di eludere le restrizioni impostate in php.ini","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stato pubblicato un metodo per bypassare nel interprete PHP le restrizioni impostate tramite la direttiva disable_functions e altre impostazioni in php.ini. Ricordiamo che la direttiva disable_functions consente di vietare l'uso in script di specifiche funzioni interne, ad esempio \u00e8 possibile vietare 'system, exec, passthru, popen, proc_open e shell_exec' per bloccare la chiamata a programmi esterni o fopen per vietare l'apertura di file. <\/p>\n
\u00c8 interessante notare che nell'exploit proposto viene utilizzata una vulnerabilit\u00e0 di cui gli sviluppatori di PHP sono stati informati oltre 10 anni fa, ma che hanno considerato un problema irrilevante, non influente sulla sicurezza. Il metodo di attacco suggerito si basa sulla modifica dei valori dei parametri nella memoria del processo e funziona in tutte le versioni attuali di PHP, a partire da PHP 7.0 (l'attacco \u00e8 possibile anche su PHP 5.x, ma ci\u00f2 richiede modifiche nell'exploit). L'exploit \u00e8 stato testato in diverse configurazioni di Debian, Ubuntu, CentOS e FreeBSD con PHP nella forma cli, fpm e come modulo per apache2. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"