В результате проведения Месяца безопасности PHP найдено 20 уязвимостей

Подведены итоги конкурса "Month of PHP Security" по поиску связанных с языком PHP уязвимостей. В результате акции было выявлено 20 проблем безопасности, 12 из которых затрагивают непосредственно интерпретатор PHP, а 8 присутствуют в популярных PHP-приложениях. Для сравнения в прошлой акции "Месяц ошибок в PHP", проводимой в 2007 году Стефаном Эссером (Stefan Esser), создателем проекта Hardened-PHP, в PHP было найдено более 40 проблем безопасности.

Экспертным советом определены 10 победителей. Занявшие с первого по четвертое место получили возможность бесплатно посетить конференцию SyScan, кроме того в зависимости от занятого места им предоставлено денежное вознаграждение: за первое место - 1000 евро, второе - 750 евро, третье - 500 евро, четвертое - 250 евро. Занявшие с 5 и 6 место получат лицензию на ПО CodeScan PHP, а с 7 по 16 место - 65-долларовые купоны для интернет-магазина Amazon.

Из наиболее важных уязвимостей, обнаруженных в рамках конкурса, можно отметить:

• Обнаружение (ошибка 1, ошибка 2) возможности выполнения кода злоумышленника в WYSIWYG-редакторе Xinha, входящем в состав Serendipity CMS;
• Возможность подстановки SQL-кода в форум DeluxeBB;
• Возможность (ошибка 1, ошибка 2) подстановки SQL-кода в систему управления контентом ClanSphere CMS;
• Возможность подстановки SQL-кода в обучающей среде Efront;
• Многочисленные уязвимости в различных реализациях функций PHP, разной степень опасности от инициирования краха и перехвата скрытой информации (preg_quote(), zend_sr opcode, zend_bw_xor opcode, html_entity_decode(), chunk_split(), addcslashes(), hash_update_file()), до организации выполнения кода (qlite_array_query(), sqlite_single_query()) и организации записи в произвольную область памяти интерпретатора (shm_put_var()). Корректирующий релиз PHP с исправлением представленных проблем еще не выпущен.

Дополнительно на конкурс прислано несколько статей, разбирающих суть известных типов уязвимостей, рассказывающих о связанных с безопасностью функциях и демонстрирующих технику безопасного программирования на языке PHP:

• "PHP Web Security";
• "A New Open Source Tool: OWASP ESAPI for PHP";
• "Context-aware HTML escaping";
• "Generating Unpredictable Session IDs and Hashes";
• "The Minerva PHP Fuzzer".