Vulnerabilidad en PHP a través de magic_quotes_gpc


Se ha publicado un fallo en PHP que podría permitir a un atacante remoto eludir el filtrado de las variables de entorno.





PHP incorpora una directiva "magic_quotes_gpc", que se encarga de filtrar las peticiones de GET, POST y Cookie. Esta directiva filtra los caracteres comillas simples, comillas dobles, la barra de path y los nulos.

Fue marcada como "deprecated" (se informa que será borrada) en la versión 5.3.0, pero actualmente se puede seguir usando, aunque no es recomendable porque se eliminará en futuras versiones.

El fallo se produce durante el proceso de importación de las variables de entorno. Estas variables no se ven afectadas por esta directiva, por tanto, se deshabilita durante este proceso. El problema es que esto no se realiza de forma correcta, lo que permitiría a un atacante remoto eludir el filtrado a través de una petición especialmente diseñada.

A esta vulnerabilidad se le ha asignado el identificador CVE-2012-0831.

El fallo se ha solucionado primero para la distribución Ubuntu. Aunque existe un parche oficial que soluciona este error, PHP aún no ha publicado una versión estable que lo solucione.

Más información:

PHP svn:
http://svn.php.net/

Ubuntu Security Notice:
http://www.ubuntu.com/

Fuente:
Víctor Antonio Torre
http://unaaldia.hispasec.com/



Otras noticias de interés:

Mozilla Labs: Personas en Firefox
Con este curioso nombre, Personas, se presenta una nueva apuesta de Mozilla Labs para decorar nuestro Firefox. ...
Denegación de servicio en Windows Vista por problema en driver ATI Radeon
Se ha descubierto un problema en Microsoft Windows Vista que puede ser explotado por usuarios locales maliciosos para provocar denegaciones de servicio. ...
Chrome 4 aumenta su seguridad y añade protección contra el clickjacking
La nueva versión del navegador de Google, Chrome 4 ha incluido dos características de seguridad que Internet Explorer 8 ofrecía en marzo del año pasado....
Ataques Hack a través de rebote de puertos (port bouncing)
Consisten los ataques por rebote de puertos (port bouncing), que permiten utilizar uno o más sistemas intermedios para ocultar la dirección IP desde la que se origina la agresión, dificultando así que se le pueda seguir el rastro....
SPIM, nueva modalidad de spam a través de los programas de mensajería instantánea
Esta nueva acepción, que aun resultará desconocida para muchos de los usuarios de Internet, comenzará hacerse habitual, y es que el spim no es más que una nueva forma de spam. ...
Vulnerabilidad en RealPlayer 11 puede ejecutar código
RealPlayer es propenso a una vulnerabilidad no especificada del tipo desbordamiento de búfer, que puede permitir a un atacante la ejecución remota de código, o que la aplicación deje de responder. ...
Microsoft actualiza un parche para el RAS de Windows que bloqueaba la conexión con VPN
Microsoft ha comunicado que un parche que solucionaba un fallo de seguridad del RAS (Remote Access Service) en varias versiones de Windows tiene un agujero que puede impedir que los usuarios realicen conexiones VPN (Virtual Private Network). ...
Evolucionarán las botnets y disminuirán las computadoras zombis
Los principales motivos para que se produzca este cambio, según Kaspersky, son la incorporación de múltiples sistemas operativos y cada vez más usuarios conectados a Internet a través de los dispositivos inteligentes....
Los problemas del computador causan estrés en los usuarios
Un 63 por ciento de la población encuestada afirma que las incidencias en el funcionamiento del computador pueden ser causa de estrés y asegura que este tipo de anomalías en el PC provoca en el usuario un nivel medio-alto de nerviosismo, llegando ...
Microsoft publicará 13 boletines de seguridad el próximo martes
Siguiendo con su ciclo habitual de publicación de parches de seguridad los segundos martes de cada mes, Microsoft publicará el próximo 9 de agosto 13 boletines de seguridad, del MS11-057 al MS11-070, con un número indeterminado de vulnerabilidade...

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • magic_quotes_gpc
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • traves
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidad
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra