Sicherheitslücke in Version 4.3.0

[Christian Seiler]

Hallo Cheatah,

Dadurch ist der Zugriff auf alle Dateien möglich, die der Webserver-User lesen kann - [...] Beispielsweise in das Access-Logfile.

normalerweise sollte das Server-Logfile von der Server-Instanz aus zugreifbar sein, nicht von dessen Workern. Die Instanz wird (meist) als root gestartet, die Worker nicht. Wenn allerdings hier bei der Konfiguration geschlampt wurde, sieht es in der Tat düster aus.

Das verstehe ich jetzt nicht so ganz - die Option force_cgi_redirect bewirkt doch nur, dass wenn _kein_ internal redirect (wie bei Handlern oder Fehlerseiten) erfolgte, dass _dann_ abgebrochen werden sollte. Um aber PHP überhaupt die Parameter zu übergeben, muss man ja so eine Syntax verwenden:

http://....de/.../php/pfad/zur/Datei
              ^^^
         (das ausführbare PHP-Programm)

/pfad/zur/Datei muss aber innerhalb des Webstammbaums liegen, also betrifft diese Sicherheitslücke nur .htaccess-geschützte Verzeichnisse und ähnliches - _nicht_ jedoch die Logfiles, die sollten sowieso außerhalb des Webstammbaums liegen, sonst würde ich noch mal ein kräftiges Wörtchen mit meinem Provider reden. (bzw. ihn wechseln)

Christian