CGI मोड में PHP भेद्यता

कुछ सीजीआई-आधारित सेटिंग्स पर एक भेद्यता है (यह अपाचे + mod_php और Nginx + PHP-FPM को प्रभावित नहीं करता है), जो कम से कम 8 वर्षों से किसी का ध्यान नहीं है। सीजीआई विनिर्देश राज्यों की धारा 7 :

कुछ प्रणालियां एक [sic] स्ट्रिंग को CGI स्क्रिप्ट में भेजने के लिए एक विधि का समर्थन करती हैं। केवल "सूचकांक" प्रश्नों के मामले में उपयोग किया जाता है। "GET" या "HEAD" HTTP अनुरोध को एक URL खोज स्ट्रिंग के साथ परिभाषित करता है जिसमें अनएन्क्रिप्टेड "=" वर्ण नहीं होते हैं।

इसलिए, अनुरोधों में "=" चिह्न शामिल नहीं है जो कुछ सीजीआई कार्यान्वयनों के लिए अलग तरह से संभाला जाता है। PHP के लिए, इसका अर्थ है कि इसमें एक अनुरोध शामिल है ? -S पृष्ठ के PHP स्रोत कोड को मर्ज कर सकता है, लेकिन अनुरोध के साथ ? -S & = 1 सब कुछ ठीक है।

बड़ी संख्या में साइटें mod_php के माध्यम से या तो Apache मॉड्यूल के रूप में PHP चलाती हैं, या Nginx के तहत PHP-FPM का उपयोग करती हैं। इनमें से कोई भी तरीका इसके प्रति संवेदनशील नहीं है। सीजीआई के साथ प्रत्यक्ष कार्य भी इस भेद्यता से प्रभावित नहीं है।

यदि आप PHP को चलाने के लिए Apache mod_cgi का उपयोग करते हैं, तो आप असुरक्षित हो सकते हैं। इसे सत्यापित करने के लिए, किसी भी URL के अंत में -S जोड़ें। यदि आप स्रोत कोड देखते हैं, तो आप असुरक्षित हैं। यदि आपकी साइट खुलती है, तो सब कुछ क्रम में सबसे अधिक संभावना है।

इसे ठीक करने के लिए, PHP 5.3.12 या PHP 5.4.2 में अपग्रेड करें।

हम स्वीकार करते हैं कि PHP को चलाने के लिए CGI काफी पुराना तरीका है, और यह संभव नहीं है कि साइटों को PHP के नवीनतम संस्करण में अपग्रेड किया जाए। वैकल्पिक रूप से, आप इस तरह के अनुरोधों को रोकने के लिए वेब सर्वर को कॉन्फ़िगर कर सकते हैं जो "-" से शुरू होता है और जिसमें "=" शामिल नहीं है। इस नियम को जोड़ने से साइट के संचालन को प्रभावित नहीं करना चाहिए। Apache के लिए जो mod_rewrite का उपयोग करता है, यह इस तरह दिखेगा:

RewriteCond %{QUERY_STRING} ^(%2d|-)[^=]+$ [NC]
RewriteRule ^(.*) $1? [L]

यदि आप अपने नियम लिखते हैं, तो urlencoded ?% 2ds संस्करण को ध्यान में रखना न भूलें।

बुरा हफ्ता खराब हो गया। हमारे बगट्रैकर में एक बग था जिसने त्रुटि रिपोर्ट के निजी झंडे को सार्वजनिक रूप से त्रुटि संदेश में बदल दिया था, जिसने इस समस्या को सार्वजनिक किया था इससे पहले कि हम उस स्तर के समाधान का परीक्षण करें जिसकी हमें ज़रूरत थी। कृपया bugs.php.net के माध्यम से सभी मुद्दों की रिपोर्ट करें।

PHP 5.3.12 या PHP 5.4.2 डाउनलोड करने के लिए डाउनलोड पृष्ठ पर जाएँ। विंडोज बायनेरिज़ windows.php.net/download/ पर उपलब्ध हैं। बदलाव का एक लॉग है ।