Php development team выпустила версию php 5.3.9
Несколько разработчиков PHP Development Team выпустила версию 5.3.9 популярного языка веб-программирования, устранив в последнем релизе сравнительно не так давно найденную DoS-уязвимость, и ряд других ошибок и проблем. DoS-уязвимость была раскрыта в декабре 2011 года на Chaos Communication Congress в Германии экспертом по информационной безопасности Александром его коллегой и Клинком Джуллианом Вельде. Около месяца назад они сказали, что подобные DoS-уязвимости были открыты не только в PHP, вместе с тем в ASP.Net, Java и Python.
Разработчики PHP обозначили уязвимость как CVE-2011-4885, сказав, что она разрешает атакующему проводить так именуемую хеш-коллизию, другими словами отправлять на сервер особый запрос, содержащий тысячи значений, каковые провоцируют PHP-интерпретатор делать массу задач, приводящих в итоге к отказу и переполнению буфера в обслуживании. Для ASP.Net 100-килобайтный запрос приводил к 100%-ной загрузке сервера практически на 120 секунд. Отправка нескольких таких запросов способна подвесить кроме того достаточно замечательный кластер.
Кроме этого в PHP 5.3.9 была устранена и уязвимость в работе с памятью, занимаемой PHP и адресацией в ней. Тут были обнаружены уязвимости в парсинге заголовков exif. Атакующий имел возможность передать на сервер особый злонамеренный Jpeg-файл, содержащий заданные значения offset_val в заголовках Exif.
Сейчас же несколько разработки PHP сказала, что сегодняшний стабильный релиз был последним в линейке PHP 5.3 и выход версии PHP 5.4 возможно ожидать приблизительно через 14 дней. Сейчас же была презентована версия PHP 5.4 RC5, воображающая собой последний релиз-кандидат для PHP 5.4.
Источник: cybersecurity
