Alert A-02008C - vulnerabilita' in PHP versione 4

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

******************************************************************

   Alert ID: A-02008C

   Data di creazione: Tue Jul 23 10:47:35 CEST 2002

   Titolo: Vulnerabilita' in PHP

   Gravita': alta

******************************************************************

E' stato individuato nel PHP, versioni 4.2.0 e 4.2.1, un bug nella 
gestione del metodo HTTP POST che potrebbe consentire l'esecuzione di 
codice arbitrario e il malfunzionamento del web server stesso.

Considerato che il PHP e' ormai presente in numerose distribuzioni di 
sistemi operativi, e viene spesso installato "d'ufficio", potrebbe 
essere il caso di verificare la versione installata sulla propria 
macchina e conseguentemente procedere all'aggiornamento del software.
Per verificare la versione di PHP installata su macchine che supportano 
RPM, si puo' utilizzare il comando:

  [massimo@totano] rpm -q -a |grep "^php-[0-9]"

che dovrebbe produrre un output del tipo:

   php-4.1.2-7

(in questo caso la versione installata e' la 4.1.2)

Per i sistemi che non supportano RPM si puo' scrivere un programma PHP 
con la chiamata alla funzione phpinfo():

   <?php
     phpinfo();
   ?>


Il PHP Group ha rilasciato una nuova versione di PHP immune da questo 
bug e disponibile all'indirizzo:

	http://www.php.net/downloads.php

Una soluzione alternativa all'aggiornamento dell'interprete PHP potrebbe 
essere il limitare l'accesso alla modalita' POST nel webserver. Nel caso 
di Apache, la direttiva da utilizzare sarebbe:

        <Limit POST>
          Order deny,allow
          Deny from all
       </Limit>

Maggiori informazioni relativamente al bug in questione possono essere 
reperite all'indirizzo:

	http://www.php.net/release_4_2_2.php


Appendice

GARR-CERT Home Page:  http://www.cert.garr.it

- --