ExBB Community :: Документация и литература по PHP

служба поддержки хостинга компании "Агава" пишет:

Здравствуйте.

Сообщаем Вам о найденной накануне уязвимости PHP при запуске в режиме CGI. Уязвимость позволяет просматривать исходный код исполняемых файлов, а также производить выполнение произвольных команд.

Уязвимость связана с возможностью передачи служебных параметров php-интерпретатору. Проверить наличие уязвимости можно, передав любому скрипту сайта в качестве аргумента опцию командной строки, например, "http://localhost/index.php?-s"; покажет исходный код. Если этот способ не работает, значит Ваш сайт не подвержен уязвимости.

VPS с предустановленной панелью управления ISPmanager устойчивы к ней, так как не вызывают PHP напрямую, а используют wrapper-скрипт следующего содержания:
#!/usr/bin/php-cgi

Помимо использования wrapper'а, для устранения уязвимости можно обновиться до последних версий PHP 5.3.12 и PHP 5.4.2, либо блокировать подобные запросы через .htaccess:

RewriteCond %{QUERY_STRING} ^(%2d|-)[^=]+$ [NC] RewriteRule ^(.*) $1? [L]

Если Вам потребуется помощь, сообщите об этом в службу технической поддержки по адресу support-vps@agava.com. Наши специалисты готовы оказать помощь в нейтрализации уязвимости в рамках платного почасового администрирования.

--
С уважением, служба поддержки хостинга компании "Агава".
E-mail:support-vps@agava.com
Тел.: (495) 781-65-37 или 8 (800) 333-65-37 Сайт:http://hosting.agava.ru