Vývojáři varují před upgradem na PHP 5.3.7

Vývojáři programovacího jazyka PHP nedoporučují a varují před upgradem na poslední stabilní vydání PHP 5.3.7. To sice opravovalo bezpečnostní chyby, nicméně další vážnou chybu stejného druhu přineslo. Funkce crypt(), která se používá při hashování, selhává, když je jako argument použit MD5 salt. Výsledkem poté není hash řetězce, ale samotný salt.

22.8.2011 22:58 | Migi | Bezpečnostní upozornění

Komentáře

[no]

Vývojáři PHP jsou stejné lopaty jako ti, co ten jazyk používají. Bug za bugem, v jazyku neskutečný bordel....

[Mrkva]

Nojo, jenže takhle jde mluvit o naprosto čemkoliv.

[no]

Který jiný jazyk má takový bordel ve funkcích, že polovina má jiné pořadí parametrů? Který jiný jazyk zavádí nekompatibility mezi minor verzemi? Který jiný jazyk má názvy proměnných case-sensitive a názvy funkcí case-insensitive? který jiný jazyk si hraje na objektovost, přitom základní moduly (mysql, postgres atd...) má neobjektový charakter? Mohl bych pokračovat, v PHP mám napsáno dost...

[Mrkva]

Ach jo, flame "proč PHP stojí za hovno, po dvoutisící". No, nebudu se hádat na téma "ostatní jazyky", v tom máte pravdu, až na jednu věc. Překvapuje mě, že jako člověk, co "má v PHP napsáno dost" nikdy neslyšel o MySQLi :)

Každopádně, moje pointa byla v tom, že pro jakýkoliv jiný jazyk taky najdu pár dokola omílaných problémů.

[sidik]

Nebo PDO :)

[cezz]

Nebo PDO :)

Ktore ma celkom vtipne spravanie typu:

If your application does not catch the exception thrown from the PDO constructor, the default action taken by the zend engine is to terminate the script and display a back trace. This back trace will likely reveal the full database connection details, including the username and password.

[Heron]

Výjimka vyhazovaná z konstruktoru je také moc milá věc

[Sten]

Výjimka vyhazovaná z konstruktoru je v jazycích používajících RAII normální a správné chování.

[sidik]

Když někdo neumí programovat (platí jak pro vývojáře PHP tak vývojáře v PHP)...

[marmax]

ROFL

[jos]

jestli někdo na produkčním serveru zobrazuje nastalé chyby uživatelům tak je trotl nezávisle na jazyku

[cezz]

No ja som to pochopil tak, ze v tomto pripade sa ignoruje nastavenie display_errors.

[jos]

mno to by bylo hustý, naštěstí to tak není (v errorlogu to samozřejmě skončí, ale o tom se tu nebavíme)

proto ta formulace This back trace will likely reveal ...

[Luboš Doležel (Doli)]

Já jim to klidně zobrazím. Tajnosti tam nejsou a když už, tak mě může snadno odkázat na konkrétní chybu.

[Sten]

Od čeho potom máte logování?

[JoHnY2]

Skoro vsechno co uvadis jsou "implementacni detaily", ktery ve skutecnosti nehrajou u jiz rozsireny technologie prilis podstatnou roli, protoze uz davno existuje nadkriticky mnozstvi kodu v provozu. Ze je PHP peknej hnus vime vsichni, na to neni potreba doktorat. Bohate staci peklo jmenem charset a vsem je jasny, ze tohle ma k idelanimu stavu hodne daleko.

[ed]

matlab, resp. niektore jeho toolkity

[R]

No ja napriklad pouzivam PHP ako neobjektovy skriptovaci jazyk a vyhovuje mi to.

[Ladicek]

Rád bych dodal, že na tento problém jsem upozorňoval již před patnácti, ano patnácti lety. V.K., dr. h. c.

[Bedňa]

Na tento zápisok bolo použíté MD5 :)

[Mrkva]

No, Debian má konkurenci...

[2X4B-523P]

sice je to trochu větší nářez, ale naštěstí 3 roky starý (ale málem mě to dostalo, než jsem si přečetl datum)

[R]

To sice ano, ale tie kluce nachadzam dodnes...

[Foo Bar]

Na druhou stranu PHP 5.3.7 v Debianu zrovna tuhle zranitelnost nemá, viz http://www.abclinuxu.cz/zpravicky/php-5.3.7#2

Prostě někdy je lepší den, někdy horší.

A co se týče té chyby v openssl, tak máslo na hlavě nemá jen správce balíku... tenkrát to psal do listu openssl a odbyli ho, tak tu změnu udělal. [Ale nechci obnovovat starý flejm...]

[l4m4]

Už se dosáhlo stavu, kdy oprava jedné chyby vede ke vzniku alespoň jedné další chyby? V tom případě mohou součansou verzi vývojáři PHP prohlásit za gold a jít se věnovat něčemu jinému...

[yac]

Odměnou za používání nejnovějšího PHP a MD5 saltu je přihlášení pro každého s každým heslem bez rozdílu!

Pokud by někoho zajímala chyba, je to jeden řádek.

>>>>>>
strlcat(passwd, "$", 1);
------
strcat(passwd, "$");
<<<<<<

[nyan]

Tak mi napadlo, maji i funkci strlolcat ? ;)

[Alf]

Koukněte se na unit testy, 201 selhání den před vydáním PHP 5.3.7. Koukněte se trochu podrobněji a test, který zkoumá crypt() s MD5 selhal.... Jen pro zajímavost :)

http://gcov.php.net/viewer.php?version=PHP_5_3&func=tests&file=ext%2Fstandard%2Ftests%2Fstrings%2Fcrypt.phpt

http://gcov.php.net/PHP_5_3/lcov_html/

[Luboš Doležel (Doli)]

PHP je jen špatný vtip. Nemůžu ani pořádně aktualizovat PHP na serveru, protože každá druhá aktualizace rozbije nějaký web. Kompatibilita neexistuje. Do konce roku bych rád všechno předělal do Javy.

[Šangala]

Ale to je zas třeba přikoupit další GiB paměti a možná i procesory

[Luboš Doležel (Doli)]

Čoveče, oproti PHP? Vůbec ne. Zatímco Java žere víceméně konstantně, u PHP to roste lineárně s počtem současných požadavků. A PHP žere obecně docela dost.

A procesory? To je snad vtip. Oproti interpretovanému PHP je to násobně rychlejší.

[ed]

php samozrejme nie je interpretovane :) pouziva rovnako ako java VM, akurat nedisponuje JIT a preklad zo zdrojoveho kodu do bytekodu sa robi pri kazdom nacitani + je parser dvojprechodovy atd.

[hanzz]

To, ze jazyk pouziva byte-code a VM neznamena, ze neni interpretovany.

[Ladicek]

Interpretující virtuální mašina je typicky výrazně rychlejší než interpret původního jazyka (AST walker, obvykle). Jenže když se do toho bajtkódu musí kompilovat pokaždé…

[okbob]

No, a proč by měla? Pokud máte AST v cache, tak AST kód může být výrazně kratší - bude obsahovat méně instrukcí, a tudíž jeho provedení by mělo být rychlejší - jde jen o to, jak šikovně máte navržený AST.

[Luboš Doležel (Doli)]

To auto samozřejmě není nepojízdné, jen má ufouklá dvě kola, chybí mu výfuk a startovat se musí na kličku

[jos]

A: hele tak tady máš tu káru, vyjedeš s tim úplně všechno, můžeš s tim i do vody, spotřeba maličko vyšší

B: ale já nemam řidičák na tank

[Šangala]

Vlákno bylo přesunuto do samostatné diskuse.

[Jirka]

Jo, ale Java sežere konstantně všechno hned na začátku, takže s roustoucím počtem požadavků už není co dalšího sežrat.

[sidik]

Z bláta do louže :)

[Luboš Doležel (Doli)]

Kompatibilita je tam dodržována prakticky dokonale. Nikdy jsem po upgradu neměl problém.

[Bedňa]

Sú dva vývojové modely, jeden čo si doživotne nesie so sebou doživotne všetky neduhy a druhý, že čo je zlé sa odstráni a od PHP5 sa zaviedol práve tento smer. Cieľom má byť PHP6, kde už bude zbavené toho bordelu na ktorý sa dookola nadáva. V PHP6 nepôjde veľa webov, kým sa neprerobia funkcie, napríklad kedysi moja obľúbená ereg(i) tam už nebude a na tom zakapú všetky moje weby, okrem KU :)

[Filip Jirsák]

Neříkalo se tohle už o PHP4 a PHP5?

[Bedňa]

Pokiaľ viem, tak až od PHP5, sa začali robiť radikálne rezy a PHP6 už má byť bez safe mode obskurtnou prácou s reťazcami a podobných pí......

[Luboš Doležel (Doli)]

Problém je v tom, že už jen přechod 5.2 -> 5.3 je noční můra. Děkuji, nechci.

[Bedňa]

Je to daň za roky rýchlo aplikovaných nových funkcií, ktoré sa teraz odstraňujú. Bohužiaľ iná cesta nieje, pokiaľ má byť do budúcnosti PHP transparentným jazykom a nie zmesou funkcií, ktoré proste niekedy nefungujú správne. Debian stable a máš na dlhší čas pokoj

[Sten]

Už jsem si myslel, že žádné unit testy nemají a proto to prošlo, ale jestli vypustí jako stabilní verzi něco, co neprojde 201 unit testy, to je snad ještě horší než produkty od Microsoftu.

[Johny]

Co se tyka tech unit testu, tak nekde se jim to opravdu rozbilo, ale na spouste mist je to akorat nejaka zmena chybove hlasky nebo neco jineho:

http://gcov.php.net/viewer.php?version=PHP_5_3&func=tests&file=ext%2Fopenssl%2Ftests%2F001.phpt

4: /* stack up some entropy; performance is not critical,

5: * and being slow will most likely even help the test.

6: */

....

Output

Creating private key

** ERROR: process timed out **

[Ladislav Hagara]

Na zrcadlech se začíná objevovat verze 5.3.8. Jsem ji zkusil a našel chybu v phpinfo(). Před vlastní tabulkou se zobrazuje znak ">". Chybu jsem našel v SVN:
PUTS("<...>"); -> PUTS("<... xmlns=\"http://www.w3.org/1999/xhtml\">>");
Informoval jsem komunitu a popis chyby se následně objevil v php-internals diskusním listu. Bude to opraveno před oficiálním oznámením?

[Bedňa]

Šikula, ešte im pozri na crypt

[Ladislav Hagara]

Opraveno. :)

[Foo Bar]

Musím říct, že mě jako Debianího správce může dycky klepnout, když vidím:

This bug has been fixed in SVN.

Jak já bych potřeboval vědět číslo revize :(.

[Ladicek]

Ale vždyť k tomu bugu je ten commit navázaný…

[Foo Bar]

Šmarjá, jsem slepý nebo je to nějaká novinka (což u mě může znamenat i několik let). Máte pravdu, děkuji za upozornění.

[Michal Kubeček]

Přesně tohle mne napadlo už u toho prvního bugu s crypt().

[mmmmario]

Kdyby radši klucí napsali (nebo si nechali napsat) specifikaci jazyka a tu pak dali všem volně k použití. Určitě by se objevila kvalitnější implementace.

[l4m4]

Kdyby v tom klucí měli natolik jasno, aby jazyk mohli specifikovat, tak by se snad takhle neměnilo chování od verze k verzi...

[jos]

http://code.roadsend.com/rphp

[Scarabeus IV]

Posledni update pred 13 mesici, to nezni jako zrovna zdravy a zivy projekt.

[jos]

hmmm, to ne no

[Anonymous]

Hlavnímu vývojáři se nechce pracovat samotnému, a tak vymýšlí nový jazyk.

[Jendа]

Přepsal jsem Bitcoin miner do PHP. Dává to 500 Mhash/s na Pentiu II, ale ještě to nenašlo ani jednu share.

[Heron]

LOL