Die Scripting-Umgebung PHP weist zwei kritische Sicherheitslücken auf, warnt Stefan Esser, Sicherheitsexperte beim Kölner IT-Security-Dienstleister E-Matters. Betroffen sind die Versionen der Serie 4 bis 4.3.7 und die Vorversionen des PHP-Release 5.

Verantwortlich sind Probleme mit der Speicherverwaltung, die Angreifer dazu ausnutzen können, um Schadroutinen einzuschleusen. So lässt sich die Ausführung von Scripts an unsicheren Stellen abbrechen, wenn eine Grenze für den Speicherbedarf definiert ist ("memory_limit"). Außerdem ist die Funktion "strip_tags()" unsicher. Sie wird oft verwendet, um "Cross-Site-Scripting"-Angriffe (Computerwoche.de berichtete) zu verhindern. Sind in den Quellcode manipulierter Seiten Tags wie "" oder "" eingebunden, versagt der Filter im Zusammenspiel mit den Browsern Internet Explorer und Safari. Sie bereinigen das Konstrukt und erzeugen den gültigen Tag "". Die Browser von Opera und Mozilla (inklusive Firefox) sowie die KDE-Anwendung "Konqueror" lassen sich laut Esser durch solche manipulierten Tags nicht austricksen.

Die Entwickler von PHP haben die Lecks in den mittlerweile verfügbaren Versionen 4.3.8 und 5.0.0 geschlossen. (lex)