{"id":101561,"date":"2021-10-07T10:23:03","date_gmt":"2021-10-07T08:23:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-php-pozvolyayushhaya-obojti-ogranicheniya-zadannye-v-php-ini"},"modified":"2021-10-07T10:23:03","modified_gmt":"2021-10-07T08:23:03","slug":"uyazvimost-v-php-pozvolyayushhaya-obojti-ogranicheniya-zadannye-v-php-ini","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-v-php-pozvolyayushhaya-obojti-ogranicheniya-zadannye-v-php-ini","title":{"rendered":"Een kwetsbaarheid in PHP die de beperkingen in php.ini kan omzeilen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Een methode om beperkingen in de PHP-interpreter te omzeilen, ingesteld via de directive disable_functions en andere instellingen in php.ini, is gepubliceerd. We herinneren eraan dat de directive disable_functions de mogelijkheid biedt om het gebruik van bepaalde ingebouwde functies in scripts te verbieden, zoals het verbieden van 'system, exec, passthru, popen, proc_open en shell_exec' om aanroepen naar externe programma's te blokkeren, of fopen om het openen van bestanden te verbieden. <\/p>\n
Opmerkelijk is dat in de voorgestelde exploit een kwetsbaarheid wordt gebruikt, waarvan PHP-ontwikkelaars meer dan 10 jaar geleden op de hoogte waren gesteld, maar zij beschouwden dit als een onbelangrijk probleem dat geen invloed had op de veiligheid. De voorgestelde aanvalsmethode is gebaseerd op het wijzigen van parameterwaarden in het geheugen van het proces en werkt in alle actuele versies van PHP, beginnend met PHP 7.0 (de aanval is ook mogelijk op PHP 5.x, maar daarvoor zijn aanpassingen aan de exploit vereist). De exploit is getest in verschillende configuraties van Debian, Ubuntu, CentOS en FreeBSD met PHP in de vorm van cli, fpm en als module voor apache2. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"