Ungeflickte Sicherheitslücke in PHP

Durch eine Fehler in der PHP-Funktion crypt() können Angreifer unter Umständen gewisse Sicherheits-Richtlinien umgehen. Die Funktion liefert nur dann das "Salz" zurück, wenn es mittels "salted MD5"-Hashes generiert wurde. Authentifizierungs-Methoden, die auf die Korrektheit von crypt() vertrauen, könnten damit nicht effektiv sein.

Die Schwachstelle ist für die neueste Version 5.3.7 bestätigt und als kritisch eingestuft. Ein Update gibt es derzeit nicht. Allerdings ist der Fehler im SVN-Repository bereits behoben, wie die Entwickler in einer Anweisung bekannt gegeben haben: php.net, bugs.php.net (jdo)