Опасная и все еще неисправленная восьмилетняя уязвимость в PHP
dl // 04.05.12 17:27
При установке PHP в качестве простого обработчика CGI-запросов (например, с помощью mod_cgid в Apache, в отличие от FastCGI, который не затронут) у атакующего появляется возможность передать интерпретатору различные параметры, приводящие к показу исходников скриптов, исполнению произвольного кода и т.п.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2012/05/04.html]
Узнать, подвержена ли ваша версия данной уязвимости, можно путем добавления простой строчки ?-s к url любого php-документа. Если вместо привычной страницы браузер покажет ее исходный код, пора бежать за обновлением.
Обнаружена эта уязвимость была в январе, а появилась еще в 2004 году. The PHP Group уже выпустила исправленные версии PHP 5.3.12 и PHP 5.4.2.
Update: как выяснилось, официальное исправление легко обходится.
