Критическая уязвимость в PHP, позволяющая выполнить код на сервере.

В PHP обнаружена [2] одна из самых серьёзных уязвимостей за время существования данного языка. Уязвимость проявляется только в PHP 5.3.9 и позволяет удалённому злоумышленнику выполнить свой код на сервере, независимо от того какие PHP-скрипты используются. При успешном совершении атаки код будет выполнен с правами PHP-приложения, к которому отправлен специально оформленный запрос.
По иронии судьбы, уязвимость связанна с некорректным устранением менее опасной проблемы безопасности в прошлой версии PHP [3]. Для защиты от совершения DoS-атаки, которая может быть вызвана проблемой [4] с предсказуемыми коллизиями в реализации алгоритма хэширования, в PHP 5.3.9 была добавлена директива max_input_vars, позволяющая ограничить число входящих параметров для поступающих HTTP-запросов. В реализации данной директивы была допущена досадная ошибка [5], которая сделала возможным совершение более опасной атаки.
Суть проблемы в том, что при портировании кода с поддержкой директивы max_input_vars был пропущен блок "else" с освобождением памяти и выходом из функции. Без этого блока, при превышении заданного директивой max_input_vars лимита, который по умолчанию установлен в 1000, если превышающая лимит переменная является массивом (например, "a[]=1"), то эта переменная оказывается на месте указателя, который в дальнейшем получает управление.
Всем пользователям PHP 5.3.9 рекомендуется в экстренном порядке наложить патч [6] или вернуться на более ранний выпуск PHP. Официального уведомления и исправления пока не выпущено. Проблему усугубляет то, что поддержка директивы max_input_vars была портирована из PHP 5.3.9 многими дистрибутивами и включена в пакеты с более старыми версиями PHP. Например, в обновлении [7] пакета php5-5.3.3-7+squeeze6 [8] для debian Squeeze имеется [9] поддержка директивы max_input_vars. Та же самая ситуация наблюдается [10] в Red Hat Enterprise Linux 5 и 6 [11], а также в Fedora Linux [12] и Mandriva [13].
Уязвимость выявлена Стефаном Эссером (Stefan Esser), создателем проектов Hardened-PHP [14] и Suhosin [15]. Комментируя решение [16] проекта Debian отказаться от использования Suhosin, Стефан указал [17] на то, что уязвимость в PHP пришлась весьма кстати, так как она хорошо демонстрирует необходимость в использовании Suhosin, который значительно снижает возможность эксплуатации, даже в стандартной конфигурации.