VivaPHP!

Se inicia el Proyecto de Auditoría de PHP

El recientemente nacido PHP Audit Project es un esfuerzo independiente para "endurecer el intérprete PHP contra vulnerabilidades conocidas y desconocidas". Este proyecto ya comenzó a trabajar con la versión 4.1.2 de PHP, y sus primeros parches ya pueden encontrarse aquí. Sus intenciones son también agregar algunas mejoras específicas para OpenBSD, aunque sin romper su compatibilidad con otros sistemas. (Estas son muy buenas noticias)

Grave vulnerabilidad corregida en PHP 4.1.2

Varias graves vulnerabilidades que permitían su explotación remota fueron descubiertos en el código para subir archivos de PHP. El problema no está en Apache, como algunos pensaban, sino en los módulos PHP. Las versiones afectadas son las 3.0.18, 4.0.6, 4.0.1 y 4.1.1, para las cuales ya hay disponible un parche. El problema es tan serio que produjo el lanzamiento de PHP 4.1.2 el mismo día que se anunció el bug. Se trata entonces de una actualización más que recomendable, aunque si por algún motivo no podemos realizarla una solución posible es deshabilitar los uploads de archivos (con la opción fileuploads=off_ en el archivo php.ini)..

Sobre la seguridad con PHP

PHP ha conseguido una sólida presencia en la Web durante estos últimos años, brindando una interface dinámica entre servidores y navegantes. Sin embargo, debido a esto, también puede ser presa de muchos ataques de Internet. A pesar del hecho de que PHP fué diseñado pensando en la seguridad, todo programador debe estar familiarizado con sus aspectos más peligrosos y con las prácticas seguras de programación escenciales para minimizar potenciales riesgos, tal como se explica en este artículo.

Actualización de seguridad de PHPLib

Muchas gracias a MaxDrake esta noticia:

"El equipo de PHPLib ha hecho pública la versión 7.2d de su librería de utilidades PHP, que soluciona un grave problema de seguridad. La librería PHPLib es un conjunto de funciones y objetos para PHP, un popular lenguaje de programación web en el mundo Unix, que proporciona funcionalidades útiles para el programador de desarrollos web. Las versiones de PHPLib previas a la 7.2d contienen un grave problema de seguridad que permite que un atacante malicioso inyecte código en cualquier script PHP que utilice la librería PHPLib. De hecho puede hacerlo depositando el código en otro servidor y convenciendo al servidor víctima para que lo descargue y lo ejecute, sin que el atacante necesite ningún tipo de permiso en esa máquina."

No es cosa seria el primer virus PHP

Después de todo el revuelo que causó la noticia del primer virus escrito en PHP, nos llegan unas palabras de cordura del Symantec Anti-Virus Research Center (SARC): "...El virus busca los archivos .php y .phtml para insertar en ellos una llamada a sí mismo. El virus funciona sólo en servidores web con intérpretes PHP... No puede contagiarse el virus visitando una página web infectada."