blob: 5094c757fadf6072283871565af02c8c83452f40 (
plain) (
blame)
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
|
#use wml::debian::translation-check translation="19967b4c9aa3da955f49ef99ac0a9d117606c8a4"
<define-tag description>salto de safe_mode, inyección de CRLF</define-tag>
<define-tag moreinfo>
<p>Wojciech Purczynski descubrió que era posible que los scripts pasaran
texto arbitrario a sendmail al extender la línea de comandos cuando se
mandaba un correo a través de PHP, incluso cuando safe_mode (modo seguro)
estaba activado. Se podía desactivar el paso del 5º argumento si PHP
estaba configurado en safe_mode, como en el caso de las versiones nuevas y
de las versiones de abajo. Esto, sin embargo, no afecta a PHP3.</p>
<p>Wojciech Purczynski también descubrió que se podían inyectar caracteres
de control ASCII en argumentos cadena de la función mail(). Si los
argumentos de mail() se toman de la entrada del usuario puede dar al
usuario la capaidad de alterar el contenido del mensaje, incluyendo los
encabezados del correo.</p>
<p>Ulf Härnhammar descubrió que file() y fopen() son vulnerables a la
inyección de CRLF. Un atacante podría usarlo para eludir ciertas
restricciones y añadir texto arbitrario a las peticiones HTTP que se pasan
a través suyo.</p>
<p>Sin embargo, esto sólo ocurre si se pasa algo a estas funciones que ni
es un nombre de archivo válido ni una url válida. Cualquier cadena que
contenga caracteres de control no puede ser una url válida. Antes de que
pase una cadena que deba ser una url a cualquier función, debe usar
urlencode() para codificarla.</p>
<p>Se han identificado tres problemas en PHP:</p>
<ol>
<li>La función mail() puede permitir que se especifiquen encabezados de
correo arbitrario si la dirección del receptor o el asunto contienen
caracteres CR/LF.</li>
<li>La función mail() no desactiva adecuadamente el pase de opciones
arbitrarias de la línea de comando a sendmail cuando esté ejecutando en
modo seguro.</li>
<li>La función fopen(), al recuperar una URL, puede permitir la
manipulación de la petición para el recurso a través de una URL que
contenga los caracteres CF/LF. Por ejemplo, los encabezados no se
podían añadir a peticiones HTTP.</li>
</ol>
<p>Estos problemas se han corregido en la versión 3.0.18-23.1woody1 para
PHP3 y 4.1.2-5 para PHP4 en la distribución estable actual (woody), en la
versión 3.0.18-0potato1.2 para PHP3 y en la 4.0.3pl1-0potato4 para PHP4 en
la distribución estable anterior (potato) y en la versión 3.0.18-23.2 para
PHP3 y 4.2.3-3 para PHP4 en la distribución inestable (sid).</p>
<p>Le recomendamos que actualice los paquetes de PHP.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2002/dsa-168.data"
|
