Über PHP-Funktionen wie header(), file() und fopen() ist es möglich, zusätzliche HTTP-Header in von PHP verschickte Anfragen einzufügen.

Betroffene Systeme

• Systeme, die PHP bis einschließlich Version 4.2.3 einsetzen

Einfallstor
HTTP-Requests an mit PHP geschriebene Webseiten, die kritischen Funktionen verwenden.

Auswirkung
Die Auswirkungen hängen von der konkreten Web-Anwendung und ihrem Umfeld ab. Über die Funktion header() dürfte regelmäßig Cross-Site Scripting möglich sein.

Typ der Verwundbarkeit
HTTP-Header-Injektion

Gefahrenpotential
Ohne Kenntnis der betroffenen Anwendung ist keine Einschätzung des Gefahrenpotentials möglich.

Beschreibung
Beim Aufruf von Funktionen wie header(), file() und fopen() können die Argumente die ASCII-Steuerzeichen CR und LF enthalten. Diese werden dann von über das Netz verschickt, wodurch es möglich ist, zusätzliche HTTP-Header einzufügen. Dies wird dann problematisch, wenn eine mit PHP erstellte Webseite diese Funktionen mit Argumenten aufruft, die aus nicht vertrauenswürdiger Quelle stammen und nicht auf diese Zeichen überprüft werden. Im Falle von header() dürfte häufig Cross-Site Scripting möglich sein (und ein Angreifer könnte so zur Authentifizierung eingesetzte Cookies erlangen und die Session übernehmen).

Gegenmaßnahmen

• Es sollten alle Zeichenketten, die über das Netz empfangen werden, vor der Weitergabe an PHP-Funktionen auf ungültige Zeichen geprüft werden.

Weitere Information zu diesem Thema

• Beschreibung der Schwachstelle in file() etc. (BUGTRAQ)
• Debian Security Advisory DSA-168-1

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/