Stabsstelle DV-Sicherheit der
Universität Stuttgart (RUS-CERT)
https://cert.uni-stuttgart.de
logo
Meldung Nr: RUS-CERT-976

[Generic/PHP] Header-Injektion über header() und weitere Funktionen
(2002-10-06 17:15:27.793574+00)

Quelle: http://cert.uni-stuttgart.de/archive/bugtraq/2002/09/msg00067.html

Über PHP-Funktionen wie header(), file() und fopen() ist es möglich, zusätzliche HTTP-Header in von PHP verschickte Anfragen einzufügen.

Betroffene Systeme

Einfallstor
HTTP-Requests an mit PHP geschriebene Webseiten, die kritischen Funktionen verwenden.

Auswirkung
Die Auswirkungen hängen von der konkreten Web-Anwendung und ihrem Umfeld ab. Über die Funktion header() dürfte regelmäßig Cross-Site Scripting möglich sein.

Typ der Verwundbarkeit
HTTP-Header-Injektion

Gefahrenpotential
Ohne Kenntnis der betroffenen Anwendung ist keine Einschätzung des Gefahrenpotentials möglich.

Beschreibung
Beim Aufruf von Funktionen wie header(), file() und fopen() können die Argumente die ASCII-Steuerzeichen CR und LF enthalten. Diese werden dann von über das Netz verschickt, wodurch es möglich ist, zusätzliche HTTP-Header einzufügen. Dies wird dann problematisch, wenn eine mit PHP erstellte Webseite diese Funktionen mit Argumenten aufruft, die aus nicht vertrauenswürdiger Quelle stammen und nicht auf diese Zeichen überprüft werden. Im Falle von header() dürfte häufig Cross-Site Scripting möglich sein (und ein Angreifer könnte so zur Authentifizierung eingesetzte Cookies erlangen und die Session übernehmen).

Gegenmaßnahmen

Weitere Information zu diesem Thema

(fw)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2017 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/


https://cert.uni-stuttgart.de/ticker/article.php?mid=976