blob: 0f7dcf6e449ef761185253f68078863400f4bb3b (
plain) (
blame)
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
|
#use wml::debian::translation-check translation="19967b4c9aa3da955f49ef99ac0a9d117606c8a4" maintainer="Giuseppe Sacco"
<define-tag description>oltrepassare safe_mode, inserimento di CRLF</define-tag>
<define-tag moreinfo>
<p>Wojciech Purczynski ha scoperto che è possibile che gli script
passino un testo qualsiasi a sendmail come estensione della linea di
comando quando si inviano email tramite PHP anche se safe_mode è attivato.
Passare il quinto argomento dovrebbe essere diabilitato se PHP è configurato
in safe_mode, che è il caso delle nuove versioni di PHP e per le precedenti.
Questo non è un problema per PHP3.</p>
<p>Wojciech Purczynski ha anche trovato dei caratteri di controllo
qualsiasi possono essere inseriti nelle stringhe passate alla funzione
mail(). Se gli argomenti di mail() sono presi come input dall'utente si può
dare all'utente la possibilità di alterare il contenuto del messaggio o della
sua intestazione.</p>
<p>Ulf Härnhammar ha scoperto che le funzioni file() e fopen() sono vulnerabili
all'inserimento di CRLF. Un attaccante può utilizzarlo per oltrepassare alcune
restrizioni e aggiungere del test qualsiasi a una richiesta HTTP che sta
passando.</p>
<p>In ogni caso questo può capitare solo se qualcosa che non sia un nome valido
di file o un url ad una di queste funzioni. Qualsiasi stringa che contenga
caratteri di controllo non può essere un URL valido. Prima di passare la
stringa si deve utilizzare la funzione urlencode() per codificarla.</p>
<p>Tre problemi sono stati identificati all'interno di PHP:</p>
<ol>
<li>La funzione mail() permette che l'intestazione del messaggio sia modificata
se il destinatario o l'oggetto contengonom CRLF.</li>
<li>La funzione mail() non disabilita correttamente il passaggio di opzioni
arbitrarie nella linea di comando di sendmail quando il safe_mode è attivo.</li>
<li>La funzione fopen(), quando scarica un URL, permette la manipolazione della
request relativa alla risorsa specificata, attraverso URL che contengano CR/LF.
Ad esempio, si possono inserire intestazioni alla request. </li>
</ol>
<p>Questi problemi sono stati risolti nella versione 3.0.18-23.1woody1 di PHP3
e 4.1.2-5 di PHP4 per la attuale distribuzione stable (woody), nella versione
3.0.18-0potato1.2 di PHP3 e 4.0.3pl1-0potato4 di PHP4 nella vecchia distribuzione
stable (potato) e nella versione 3.0.18-23.2 di PHP3 e 4.2.3-3 di PHP4 per la
distribution unstable (sid).</p>
<p>Si raccomanda di aggiornare i propri pacchetti PHP.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2002/dsa-168.data"
# $Id$
|
