Beliebiger Zugriff auf Systemdateien möglich

Kritische Sicherheitslücke in PHP-Calender entdeckt

Über eine Sicherheitslücke in PHP-Calender können Angreifer sich Zugriff auf beliebige Systemdateien verschaffen. Ein Workaround liegt vor.

Laut einem Bericht von Security Reason tritt die Sicherheitslücke in Version 1.1 des PHP-Calender auf. Andere Versionen der Anwendung sind unter Umständen ebenfalls betroffen. Bei PHP-Calender handelt es sich um eine Anwendung, mit deren Hilfe Benutzer ihre Termine online und untereinander korrigieren können.

Die Schwachstelle tritt beim Zugriff auf eine Konfigurationsdatei auf. Durch die gezielte Manipulation der Dateien „update08.php“ und „update10.php“ können Angreifer eine eigene Konfigurationsdatei in ein betroffenes System einbinden. Wird eine Systemdatei, wie beispielsweise „/etc/passwd“ angegeben, ist auf diese ebenfalls ein Zugriff möglich. Der Bericht von Security Reason beschreibt, wie Sie durch eine Änderung des PHP-Codes die Sicherheitslücke temporär schließen können. (vgw)