forum.opennet.ru - "Уязвимости в Drupal, QEMU и Nagios" (24)

форумы

помощь

поиск

регистрация

майллист

вход/выход

слежка

"Уязвимости в Drupal, QEMU и Nagios"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Уязвимости в Drupal, QEMU и Nagios"	+/–
Сообщение от opennews (ok) on 20-Дек-12, 10:40
Несколько недавно обнаруженных уязвимостей: - В стандартных компонентах, входящих в базовую поставку системы управления web-контентом Drupal (http://drupal.org/), обнаружено (http://seclists.org/fulldisclosure/2012/Dec/176) несколько уязвимостей (http://drupal.org/SA-CORE-2012-004). Проблемы устранены (http://drupal.org/drupal-7.18) в корректирующих выпусках Drupal 7.18 и 6.27. Уязвимость в модуле загрузки файлов из состава Drupal 6.x и 7.x позволяет удалённому злоумышленнику инициировать выполнение произвольного PHP-кода на сервере через обход механизмов проверки корректности имени загружаемого файла, что позволяет загрузить файл как скрипт .php и выполнить его через обращение по URL. Для успешной атаки злоумышленник должен иметь доступ к функциям загрузки файлов, а http-сервер не должен блокировать выполнение php-скриптов в директории, используемой для сохранения загружаемых данных (при использовании apache выполнение таких скриптов по умолчанию запрещается в поставляемом с Drupal файле .htaccess); - В коде эмуляции сетевого адаптера e1000, используемом в QEMU, qemu-kvm и Xen, исправлено (http://permalink.gmane.org/gmane.comp.security.oss.general/9013) переполнение буфера, которое может быть потенциально эксплуатировано через отправку специально оформленных пакетов, адресованных из вне в гостевое окружение. При наихудшем сценарии не исключена возможность выполнения кода с привилегиями ядра на стороне гостевой системы. Тем не менее, проблема помечена как неопасная, так как для успешного проведения атаки конфигурация сети должна допускать прохождение больших пакетов к гостевой системе, что нетипично. Проблема устранена в QEMU 1.3. - В web-интерфейсе системы мониторинга Nagios найдена уязвимость (http://archives.neohapsis.com/archives/fulldisclosure/2012-12), позволяющая выполнить код на сервере через манипуляции с содержимым параметра "host" при обращении к скрипту history.cgi. Проблема подтверждена в версии 3.4.3, исправление пока недоступно. URL: http://seclists.org/fulldisclosure/2012/Dec/176 Новость: http://www.opennet.ru/opennews/art.shtml?num=35653
Ответить \| Правка \| Cообщить модератору

Оглавление

Уязвимости в Drupal, QEMU и Nagios, бедный буратино, 10:40 , 20-Дек-12, (1) +3

Уязвимости в Drupal, QEMU и Nagios, jedie, 11:14 , 20-Дек-12, (3) –1
Уязвимости в Drupal, QEMU и Nagios, Аноним, 11:20 , 20-Дек-12, (4) +2

Уязвимости в Drupal, QEMU и Nagios, б.б., 11:38 , 20-Дек-12, (5)

Уязвимости в Drupal, QEMU и Nagios, Анончик, 11:52 , 20-Дек-12, (6)

Уязвимости в Drupal, QEMU и Nagios, б.б., 12:05 , 20-Дек-12, (7) +3

Уязвимости в Drupal, QEMU и Nagios, metallic, 14:27 , 20-Дек-12, (10) +3

Уязвимости в Drupal, QEMU и Nagios, бедный буратино, 15:08 , 20-Дек-12, (12)

Уязвимости в Drupal, QEMU и Nagios, Аноним, 15:20 , 20-Дек-12, (15)

Уязвимости в Drupal, QEMU и Nagios, Аноним, 14:50 , 20-Дек-12, (11)
Уязвимости в Drupal, QEMU и Nagios, Аноним, 15:18 , 20-Дек-12, (14)

Уязвимости в Drupal, QEMU и Nagios, б.б., 15:37 , 20-Дек-12, (17) –3

Уязвимости в Drupal, QEMU и Nagios, зачем имя анониму, 21:35 , 20-Дек-12, (22) +1

Уязвимости в Drupal, QEMU и Nagios, Аноним, 03:58 , 22-Дек-12, (24)

Уязвимости в Drupal, QEMU и Nagios, Andrey Mitrofanov, 12:35 , 20-Дек-12, (8)

Уязвимости в Drupal, QEMU и Nagios, Аноним, 15:17 , 20-Дек-12, (13) +1

Уязвимости в Drupal, QEMU и Nagios, Аноним, 10:45 , 20-Дек-12, (2) +13

Уязвимости в Drupal, QEMU и Nagios, demimurych, 12:46 , 20-Дек-12, (9) +1
Уязвимости в Drupal, QEMU и Nagios, ОнанВарвар, 15:37 , 20-Дек-12, (16) –1
Уязвимости в Drupal, QEMU и Nagios, Michael Shigorin, 01:05 , 22-Дек-12, (23)

Уязвимости в Drupal, QEMU и Nagios, Аноним, 20:37 , 20-Дек-12, (18)

Уязвимости в Drupal, QEMU и Nagios, Andrey Mitrofanov, 21:20 , 20-Дек-12, (19) +2

Уязвимости в Drupal, QEMU и Nagios, Аноним, 21:25 , 20-Дек-12, (20)

Уязвимости в Drupal, QEMU и Nagios, Andrey Mitrofanov, 21:27 , 20-Дек-12, (21)

Сообщения по теме [Сортировка по ответам | RSS]

1. "Уязвимости в Drupal, QEMU и Nagios" +3 +/–

Сообщение от бедный буратино (ok) on 20-Дек-12, 10:40

> что позволяет загрузить файл как скрипт .php и выполнить его через обращение по URL
Такие уязвимости в php будут всегда, что говорится "by design". Ведь на сегодня это единственная более-менее популярная веб-технология, работающая в режиме "что вижу, то и пою".

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Уязвимости в Drupal, QEMU и Nagios" +13 +/–

Сообщение от Аноним (??) on 20-Дек-12, 10:45

буквально на днях кто то написал "вот поэтому я использую друпал" и такой фейл!

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

3. "Уязвимости в Drupal, QEMU и Nagios" –1 +/–

Сообщение от jedie on 20-Дек-12, 11:14

толсто

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

4. "Уязвимости в Drupal, QEMU и Nagios" +2 +/–

Сообщение от Аноним (??) on 20-Дек-12, 11:20

Cохранять полученный файл в паблик-директории сервера с именем, под которым его отправил пользователь — это не «by design», это «by идиотизм».

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

5. "Уязвимости в Drupal, QEMU и Nagios" +/–

Сообщение от б.б. on 20-Дек-12, 11:38

Причём здесь это? Можно через два года попасть на то, что часть корня сайта доступна для записи по ftp. Или ещё как, вариантов много. Т.е., веб-сервер "отражает" кучу файлов, и на некоторые у него при некоторых условиях могут быть права на запуск. Что вижу, то и пою. Ничего более идиотского для веба и придумать нельзя. Это так "по-русски", сделать проблему на ровном месте, а потом с пеной у рта защищать её, потому что "у нас свой путь". Никто так не делает, никто. И у всех нормальные роуты, и у всех нет "что вижу, то и пою", а у php "свой путь". Россия в мире ПО, только "пьют и воруют".

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

6. "Уязвимости в Drupal, QEMU и Nagios" +/–

Сообщение от Анончик on 20-Дек-12, 11:52

Это скорее проблема стандартного способа использования с апачи. Правильно запиленный nginx и php-fpm позволят избежать такого бреда

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

7. "Уязвимости в Drupal, QEMU и Nagios" +3 +/–

Сообщение от б.б. on 20-Дек-12, 12:05

Из-за неразберихи по тому, как именно разбирать запрос, есть проблемы с ссылками вида /index.php/hello/world, просто по причине того, что разбор с начала и разбор с конца дают РАЗНЫЕ результаты. Это php, детка :)

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

8. "Уязвимости в Drupal, QEMU и Nagios" +/–

Сообщение от Andrey Mitrofanov on 20-Дек-12, 12:35

>это не «by design», это «by идиотизм».
By Idiotten Disign! Не ссорьтесь, ма-альчики.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

9. "Уязвимости в Drupal, QEMU и Nagios" +1 +/–

Сообщение от demimurych (ok) on 20-Дек-12, 12:46

В установке Drupal, идет htaccess файл для apache который делает невозможным эксплуатировать уязвимость с аплоадом php файла.
Это не совпадение, а сделано намеренно о чем сказано в самом htaccess файле.
Используешь дургой сервер, будь добр внимательно ознакомиться с правилами установки.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

10. "Уязвимости в Drupal, QEMU и Nagios" +3 +/–

Сообщение от metallic (ok) on 20-Дек-12, 14:27

А казалось бы, причем тут политика?

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

11. "Уязвимости в Drupal, QEMU и Nagios" +/–

Сообщение от Аноним (??) on 20-Дек-12, 14:50

э… спокойно, батенька. Какой ещё «путь», какая Россия, это вы к чему вообще?
Все нормальные PHP-фреймворки давно пропускают все запросы к PHP через Front Controller. Ну загуглите на тему роутинга в Symfony1/2, ZF, да хоть Code Igniter. Короче, если хотите вести диалог, конкретизируйте свои претензии. И желательно без потока эмоций.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

12. "Уязвимости в Drupal, QEMU и Nagios" +/–

Сообщение от бедный буратино (ok) on 20-Дек-12, 15:08

не при чём. я говорил про истерику в политике а не про политику в истерики. это просто как пример, политика тут совсем не при чём.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

13. "Уязвимости в Drupal, QEMU и Nagios" +1 +/–

Сообщение от Аноним (??) on 20-Дек-12, 15:17

> Такие уязвимости в php будут всегда, что говорится "by design".
Странно. А чего же тогда в Zope дырки? Или вон яндекс недавно эпически облажался: http://habrahabr.ru/post/163039/
Оказывается, это пых виноват. А вовсе не ж@порукие буратины. Вот если заменить пых на что-то еще - программисты сразу перестанут баги делать.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

14. "Уязвимости в Drupal, QEMU и Nagios" +/–

Сообщение от Аноним (??) on 20-Дек-12, 15:18

> Причём здесь это? Можно через два года попасть на то, что часть
> корня сайта доступна для записи по ftp.
И что? Если некто может аплоадить произвольное файло на сайт - он, очевидно, может перезалить этот сайт. И? Пых виноват в кретинизме администратора? Буратино такое буратино.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

15. "Уязвимости в Drupal, QEMU и Nagios" +/–

Сообщение от Аноним (??) on 20-Дек-12, 15:20

> не при чём. я говорил про истерику в политике
Пока что я вижу истерику по поводу пыха у одного деревянного субъекта. Который втирает как будто бы баги есть только в софте написанном на пыхе. Что, мягко говоря, вранье.

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

16. "Уязвимости в Drupal, QEMU и Nagios" –1 +/–

Сообщение от ОнанВарвар on 20-Дек-12, 15:37

Обновился :).
фейла нет, ибо нет идеального кода.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

17. "Уязвимости в Drupal, QEMU и Nagios" –3 +/–

Сообщение от б.б. on 20-Дек-12, 15:37

>> И что? Если некто может аплоадить произвольное файло на сайт - он, очевидно, может перезалить этот сайт. И? Пых виноват в кретинизме администратора?
Он может напортить это в системе "что вижу, то и пою".
php виноват в том, что он единственный работает по такой схеме. и проблема в том, что там даже через три симлинка через независимый сайт может случайно попасть .php. И ОН ИСПОЛНИТСЯ, ПОТОМУ ЧТО PHP ДЕБИЛЕН ПО УМОЛЧАНИЮ. И там, где другим не нужно защищать, в php нужно. И это проблема. Даже в cgi исполнялись только файлы с chmod +x в /cgi-bin/, а php по умолчанию поётся ВЕЗДЕ. Это не дыра, это ДЫРИЩА. Дырища по имени php.

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

18. "Уязвимости в Drupal, QEMU и Nagios" +/–

Сообщение от Аноним (??) on 20-Дек-12, 20:37

Меня всегда удивляет насколько яро можно говорить о негативных качествах PHP забывая при этом то что ошибки присуще любому ПО

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

19. "Уязвимости в Drupal, QEMU и Nagios" +2 +/–

Сообщение от Andrey Mitrofanov on 20-Дек-12, 21:20

> Меня всегда удивляет насколько яро можно говорить о негативных качествах PHP забывая
> при этом то что ошибки присуще любому ПО
Не всякому ПО прсуще свойство эти ошибки взращивать. Массово, постоянно и всенепременно.

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

20. "Уязвимости в Drupal, QEMU и Nagios" +/–

Сообщение от Аноним (??) on 20-Дек-12, 21:25

Это такой толстый намек на python?

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

21. "Уязвимости в Drupal, QEMU и Nagios" +/–

Сообщение от Andrey Mitrofanov on 20-Дек-12, 21:27

> Это такой толстый намек на python?
На posix шел.

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

22. "Уязвимости в Drupal, QEMU и Nagios" +1 +/–

Сообщение от зачем имя анониму on 20-Дек-12, 21:35

1. попейте валерьянки
2. перестаньте писать капсом

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

23. "Уязвимости в Drupal, QEMU и Nagios" +/–

Сообщение от Michael Shigorin (ok) on 22-Дек-12, 01:05

> буквально на днях кто то написал "вот поэтому я использую друпал" и такой фейл!
Кажется, там было в контексте дырок joomla (бишь совсем не fail, особенно с учётом характера проблемы в данном разе -- её предусмотрели, но возможность наступить на грабли с не-апачем осталась).
Другое дело, что remote code exec штука крайне неприятная в любом проявлении -- однажды и на TYPO3 пришлось спешно подрываться и затыкать, лет пять тому, что ли. И в этом плане не такая уж и разница -- веб-сервер не смотрит в .htaccess или в модуле ляп оказался...

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

24. "Уязвимости в Drupal, QEMU и Nagios" +/–

Сообщение от Аноним (??) on 22-Дек-12, 03:58

> Причём здесь это? Можно через два года попасть на то, что часть
> корня сайта доступна для записи по ftp. Или ещё как, вариантов
> много. Т.е., веб-сервер "отражает" кучу файлов, и на некоторые у него
> при некоторых условиях могут быть права на запуск. Что вижу, то
> и пою. Ничего более идиотского для веба и придумать нельзя. Это
> так "по-русски", сделать проблему на ровном месте, а потом с пеной
> у рта защищать её, потому что "у нас свой путь". Никто
> так не делает, никто. И у всех нормальные роуты, и у
> всех нет "что вижу, то и пою", а у php "свой
> путь". Россия в мире ПО, только "пьют и воруют".
открой для себя mod_perl и mod_python и черти знает, что еще.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру


	1. "Уязвимости в Drupal, QEMU и Nagios"	+3 +/–
	Сообщение от бедный буратино (ok) on 20-Дек-12, 10:40
	> что позволяет загрузить файл как скрипт .php и выполнить его через обращение по URL Такие уязвимости в php будут всегда, что говорится "by design". Ведь на сегодня это единственная более-менее популярная веб-технология, работающая в режиме "что вижу, то и пою".
	Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	2. "Уязвимости в Drupal, QEMU и Nagios"	+13 +/–
	Сообщение от Аноним (??) on 20-Дек-12, 10:45
	буквально на днях кто то написал "вот поэтому я использую друпал" и такой фейл!
	Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	3. "Уязвимости в Drupal, QEMU и Nagios"	–1 +/–
	Сообщение от jedie on 20-Дек-12, 11:14
	толсто
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	4. "Уязвимости в Drupal, QEMU и Nagios"	+2 +/–
	Сообщение от Аноним (??) on 20-Дек-12, 11:20
	Cохранять полученный файл в паблик-директории сервера с именем, под которым его отправил пользователь — это не «by design», это «by идиотизм».
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	5. "Уязвимости в Drupal, QEMU и Nagios"	+/–
	Сообщение от б.б. on 20-Дек-12, 11:38
	Причём здесь это? Можно через два года попасть на то, что часть корня сайта доступна для записи по ftp. Или ещё как, вариантов много. Т.е., веб-сервер "отражает" кучу файлов, и на некоторые у него при некоторых условиях могут быть права на запуск. Что вижу, то и пою. Ничего более идиотского для веба и придумать нельзя. Это так "по-русски", сделать проблему на ровном месте, а потом с пеной у рта защищать её, потому что "у нас свой путь". Никто так не делает, никто. И у всех нормальные роуты, и у всех нет "что вижу, то и пою", а у php "свой путь". Россия в мире ПО, только "пьют и воруют".
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	6. "Уязвимости в Drupal, QEMU и Nagios"	+/–
	Сообщение от Анончик on 20-Дек-12, 11:52
	Это скорее проблема стандартного способа использования с апачи. Правильно запиленный nginx и php-fpm позволят избежать такого бреда
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	7. "Уязвимости в Drupal, QEMU и Nagios"	+3 +/–
	Сообщение от б.б. on 20-Дек-12, 12:05
	Из-за неразберихи по тому, как именно разбирать запрос, есть проблемы с ссылками вида /index.php/hello/world, просто по причине того, что разбор с начала и разбор с конца дают РАЗНЫЕ результаты. Это php, детка :)
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору


	8. "Уязвимости в Drupal, QEMU и Nagios"	+/–
	Сообщение от Andrey Mitrofanov on 20-Дек-12, 12:35
	>это не «by design», это «by идиотизм». By Idiotten Disign! Не ссорьтесь, ма-альчики.
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	9. "Уязвимости в Drupal, QEMU и Nagios"	+1 +/–
	Сообщение от demimurych (ok) on 20-Дек-12, 12:46
	В установке Drupal, идет htaccess файл для apache который делает невозможным эксплуатировать уязвимость с аплоадом php файла. Это не совпадение, а сделано намеренно о чем сказано в самом htaccess файле. Используешь дургой сервер, будь добр внимательно ознакомиться с правилами установки.
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	10. "Уязвимости в Drupal, QEMU и Nagios"	+3 +/–
	Сообщение от metallic (ok) on 20-Дек-12, 14:27
	А казалось бы, причем тут политика?
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	11. "Уязвимости в Drupal, QEMU и Nagios"	+/–
	Сообщение от Аноним (??) on 20-Дек-12, 14:50
	э… спокойно, батенька. Какой ещё «путь», какая Россия, это вы к чему вообще? Все нормальные PHP-фреймворки давно пропускают все запросы к PHP через Front Controller. Ну загуглите на тему роутинга в Symfony1/2, ZF, да хоть Code Igniter. Короче, если хотите вести диалог, конкретизируйте свои претензии. И желательно без потока эмоций.
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	12. "Уязвимости в Drupal, QEMU и Nagios"	+/–
	Сообщение от бедный буратино (ok) on 20-Дек-12, 15:08
	не при чём. я говорил про истерику в политике а не про политику в истерики. это просто как пример, политика тут совсем не при чём.
	Ответить \| Правка \| ^ к родителю #10 \| Наверх \| Cообщить модератору


	13. "Уязвимости в Drupal, QEMU и Nagios"	+1 +/–
	Сообщение от Аноним (??) on 20-Дек-12, 15:17
	> Такие уязвимости в php будут всегда, что говорится "by design". Странно. А чего же тогда в Zope дырки? Или вон яндекс недавно эпически облажался: http://habrahabr.ru/post/163039/ Оказывается, это пых виноват. А вовсе не ж@порукие буратины. Вот если заменить пых на что-то еще - программисты сразу перестанут баги делать.
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	14. "Уязвимости в Drupal, QEMU и Nagios"	+/–
	Сообщение от Аноним (??) on 20-Дек-12, 15:18
	> Причём здесь это? Можно через два года попасть на то, что часть > корня сайта доступна для записи по ftp. И что? Если некто может аплоадить произвольное файло на сайт - он, очевидно, может перезалить этот сайт. И? Пых виноват в кретинизме администратора? Буратино такое буратино.
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	15. "Уязвимости в Drupal, QEMU и Nagios"	+/–
	Сообщение от Аноним (??) on 20-Дек-12, 15:20
	> не при чём. я говорил про истерику в политике Пока что я вижу истерику по поводу пыха у одного деревянного субъекта. Который втирает как будто бы баги есть только в софте написанном на пыхе. Что, мягко говоря, вранье.
	Ответить \| Правка \| ^ к родителю #12 \| Наверх \| Cообщить модератору


	16. "Уязвимости в Drupal, QEMU и Nagios"	–1 +/–
	Сообщение от ОнанВарвар on 20-Дек-12, 15:37
	Обновился :). фейла нет, ибо нет идеального кода.
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	17. "Уязвимости в Drupal, QEMU и Nagios"	–3 +/–
	Сообщение от б.б. on 20-Дек-12, 15:37
	>> И что? Если некто может аплоадить произвольное файло на сайт - он, очевидно, может перезалить этот сайт. И? Пых виноват в кретинизме администратора? Он может напортить это в системе "что вижу, то и пою". php виноват в том, что он единственный работает по такой схеме. и проблема в том, что там даже через три симлинка через независимый сайт может случайно попасть .php. И ОН ИСПОЛНИТСЯ, ПОТОМУ ЧТО PHP ДЕБИЛЕН ПО УМОЛЧАНИЮ. И там, где другим не нужно защищать, в php нужно. И это проблема. Даже в cgi исполнялись только файлы с chmod +x в /cgi-bin/, а php по умолчанию поётся ВЕЗДЕ. Это не дыра, это ДЫРИЩА. Дырища по имени php.
	Ответить \| Правка \| ^ к родителю #14 \| Наверх \| Cообщить модератору


	18. "Уязвимости в Drupal, QEMU и Nagios"	+/–
	Сообщение от Аноним (??) on 20-Дек-12, 20:37
	Меня всегда удивляет насколько яро можно говорить о негативных качествах PHP забывая при этом то что ошибки присуще любому ПО
	Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	19. "Уязвимости в Drupal, QEMU и Nagios"	+2 +/–
	Сообщение от Andrey Mitrofanov on 20-Дек-12, 21:20
	> Меня всегда удивляет насколько яро можно говорить о негативных качествах PHP забывая > при этом то что ошибки присуще любому ПО Не всякому ПО прсуще свойство эти ошибки взращивать. Массово, постоянно и всенепременно.
	Ответить \| Правка \| ^ к родителю #18 \| Наверх \| Cообщить модератору


	20. "Уязвимости в Drupal, QEMU и Nagios"	+/–
	Сообщение от Аноним (??) on 20-Дек-12, 21:25
	Это такой толстый намек на python?
	Ответить \| Правка \| ^ к родителю #19 \| Наверх \| Cообщить модератору


	21. "Уязвимости в Drupal, QEMU и Nagios"	+/–
	Сообщение от Andrey Mitrofanov on 20-Дек-12, 21:27
	> Это такой толстый намек на python? На posix шел.
	Ответить \| Правка \| ^ к родителю #20 \| Наверх \| Cообщить модератору


	22. "Уязвимости в Drupal, QEMU и Nagios"	+1 +/–
	Сообщение от зачем имя анониму on 20-Дек-12, 21:35
	1. попейте валерьянки 2. перестаньте писать капсом
	Ответить \| Правка \| ^ к родителю #17 \| Наверх \| Cообщить модератору


	23. "Уязвимости в Drupal, QEMU и Nagios"	+/–
	Сообщение от Michael Shigorin (ok) on 22-Дек-12, 01:05
	> буквально на днях кто то написал "вот поэтому я использую друпал" и такой фейл! Кажется, там было в контексте дырок joomla (бишь совсем не fail, особенно с учётом характера проблемы в данном разе -- её предусмотрели, но возможность наступить на грабли с не-апачем осталась). Другое дело, что remote code exec штука крайне неприятная в любом проявлении -- однажды и на TYPO3 пришлось спешно подрываться и затыкать, лет пять тому, что ли. И в этом плане не такая уж и разница -- веб-сервер не смотрит в .htaccess или в модуле ляп оказался...
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	24. "Уязвимости в Drupal, QEMU и Nagios"	+/–
	Сообщение от Аноним (??) on 22-Дек-12, 03:58
	> Причём здесь это? Можно через два года попасть на то, что часть > корня сайта доступна для записи по ftp. Или ещё как, вариантов > много. Т.е., веб-сервер "отражает" кучу файлов, и на некоторые у него > при некоторых условиях могут быть права на запуск. Что вижу, то > и пою. Ничего более идиотского для веба и придумать нельзя. Это > так "по-русски", сделать проблему на ровном месте, а потом с пеной > у рта защищать её, потому что "у нас свой путь". Никто > так не делает, никто. И у всех нормальные роуты, и у > всех нет "что вижу, то и пою", а у php "свой > путь". Россия в мире ПО, только "пьют и воруют". открой для себя mod_perl и mod_python и черти знает, что еще.
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору