Was ist überhaupt „php“? Eine Programmiersprache – oder genauer eine „Script“-Sprache. Man kann PHP-Programme als normal lesbaren Text schreiben. Es muß nicht „kompiliert“ werden. Deshalb können Änderungen im PHP-Programm auch einfach mit einem Texteditor vorgenommen werden. Verwendet wird PHP meistens im Umfeld von einem WWW-Server. In „php“ sind viele bekannte WWW-Anwendungen geschrieben, also WWW-Oberflächen.
Was muß getan werden? Man muß das Programm „php“ aktualisieren und den WWW-Server neu starten. Bei Linux-Systemen funktioniert das über die Paketverwaltung. Jedes Programm ist in einem Paket gebündelt. Die Paketverwaltung hat den Überblick, welche Pakete mit welchem Versionsstand auf einem System installiert sind. Es gibt einen „Maintainer“, der sich um das Paket kümmert und die neueste Version bereitstellt. Man kann Paket-Updates automatisiert einspielen oder den Befehl extra auslösen.
Bei Windows-Systemen gibt es kein „php“ normalerweise. Aber die meisten Synology-Geräte dürften betroffen sein. Es ist aber wohl halb so wild mit der „Synology“, wenn sie nicht von außen erreichbar ist.
Was bedeutet der „CVSS-Score“ von 9.2, den beide Sicherheitslücken haben? In die Bewertung einer Sicherheitslücke fließen mehrere Faktoren ein, z.B. wie einfach sie auszunützen ist, ob es mit oder ohne Anmeldung („login“) jemand betrifft etc. Am schlimmsten sind die Sicherheitslücken, bei denen jeder über das Netzwerk ohne Login ein bestimmtes Netzwerkpaket abschicken kann und dann auf dem Server eigene Programme laufen lassen kann. Das wäre eine satte 10.0. Beispiel:
Allgemeine Bemerkungen: Es gibt die Theorie der „“Synchronizität“, daß bei einer bestimmten Gelegenheit die Zeit „einfach reif“ ist und z.B. das Telefon an verschiedenen Orten erfunden wird etc. Diese Sicherheitslücke besteht offenbar seit „PHP 5.4“ (erschien am 1. März 2012). Also vermute ich, daß diese Sicherheitslücke in Geheimdienst- und Hacker-Kreisen schon seit langem bekannt war.
Das ist auch ein Grund, warum ich gegen „Docker-Container“ oder ähnliche Projekte „out of the box“ bin, wo alles so toll zusammengestellt wurde, daß es einfach läuft. Denn dann muß bei einer derartigen Lücke das gesamte „Docker-Image“ aktualisiert werden – und das könnte schwierig sein oder dauern oder den Maintainer gibt es nicht mehr etc.
Interna: Auf der Suche nach dem konkreten Fehler kam ich mit einer WWW-Suche nicht weiter. Erst mit „claude.ai“, der erklärte: der erste Fehler lag daran, daß ein „POST“ mit riesigem Feldnamen einen Speichermangel auslöst. Der zweite hängt ebenfalls mit „POST“ zusammen. „POST“ ist eine Methode, mit der Dateien vom Computer eines Anwenders zu einem Server übertragen werden, also alles, was mit „Hochladen“ zu tun hat. Das heißt, es sind nur Internet-Seiten betroffen, die in irgend einer Weise mit Inhalt des Benutzers befüllt werden, z.B. Suchmasken oder Dateneingabefelder wie Name, Adresse etc. Das gibt es bei „gussbau.de“ nicht. Dann habe ich „claude.ai“ gebeten, den Patch zu analysieren mit „diff“ und heraus kam: „402 geänderte Dateien und 11100 neue Zeilen“. Also, das habe ich mir nicht alles durchgelesen. Das zentrale Problem ist: „Bisher rief PHP bei Speichermangel direkt zend_bailout() auf“. Dann bleiben Strukturen halb initialisiert zurück. In dem Patch wurden noch viele andere Änderungen vorgenommen, das kann man auch nicht an einem Tag programmieren, d.h., die eigentliche Sicherheitslücke ist wohl schon länger bekannt.
Somit, conclusio: Es gibt sicher noch viele Fehler in dieser Art in vielen Programmen. Es sind auch sicher viele Fehler in dieser Art bekannt und zirkulieren, es gibt einen richtigen Markt für „exploits“. Das einzige, wirklich das einzige, was wirklich hilft, sind dezentrale Backups. Das heißt: Sicherungsfestplatten oder USB-Sticks, die dann abgezogen werden – und eben nicht von einem Fremden, wenn er Zugriff auf den Rechner hat, gelöscht, verschlüsselt oder durchsetzt werden mit willkürlichen Datei-Fragmenten.
Meine Einschätzung ist, daß aufgrund der KI (diese php-Lücke wurde angeblich von „OpenAI“ gefunden) noch viele derartige Fehler entdeckt werden werden.
