Обновление PHP 5.4.18 и 5.5.2 с реализацией защищённых сессий

null@example.com (Rizado) — Sat, 17 Aug 2013 13:40:30 +0000

Представлены корректирующие выпуски интерпретатора языка программирования PHP - 5.4.18 и 5.5.2 в которых устранено более 20 ошибок. В обоих выпусках устранена уязвимость в модуле OpenSSL (CVE-2013-4248), вызванная некорректной обработкой символов с нулевым кодом в поле subjectAltName в SSL-сертификатах, что открывает возможности для спуффинга. Кроме того, в выпуске 5.4.18 (в ветке PHP 5.5 данная проблема была устранена в версии 5.5.1) исправлена уязвимость (CVE-2013-4113) в парсере XML, которая позволяет организовать выполнение кода при обработке специально оформленного XML-контента.

Из изменений также можно отметить реализацию поддержки защищённых сессий, позволяющих защититься от атак по перехвату фиксированных идентификаторов пользовательских сессий и подбор идентификаторов через выявление коллизий в алгоритмах генерации идентификаторов сессий. Включение нового режима производится через опцию use_strict_session в php.ini, после чего осуществляется дополнительная проверка инициализации сессии (принимаются только ранее сгенерированные web-приложением сессии) и её корректности по специальному проверочному ключу, что позволяет защититься от атак по использованию перехваченных путём сниффинга идентификаторов сессий.

Источник: http://www.opennet.ru/opennews/art.shtml?num=37684

Linux Forum — Обновление PHP 5.4.18 и 5.5.2 с реализацией защищённых сессий

Обновление PHP 5.4.18 и 5.5.2 с реализацией защищённых сессий