Development – ページ 27

MOPB-11-2007:PHP WDDX Session Deserialization Information Leak Vulnerability

3月 5, 2007 #MOPB, #PHP 投稿者 yohgaki

Computer, Development, Programming

MOPB-10-2007:PHP php_binary Session Deserialization Information Leak Vulnerability

3月 5, 2007 #MOPB, #PHP 投稿者 yohgaki

Computer, Development, Programming

MOPB-09-2007:PHP wddx_deserialize() String Append Buffer Overflow Vulnerability

3月 4, 2007 #MOPB, #PHP 投稿者 yohgaki

Computer, Development, Programming

MOPB-08-2007:PHP 4 phpinfo() XSS Vulnerability (Deja-vu)

3月 4, 2007 #MOPB, #PHP 投稿者 yohgaki

Computer, Development, Programming

BONUS-07-2007:Zend Platform ini_modifier Local Root Vulnerability

3月 4, 2007 #MOPB, #PHP 投稿者 yohgaki

Computer, Development, Programming

BONUS-06-2007:Zend Platform Insecure File Permission Local Root Vulnerability

3月 4, 2007 #MOPB, #PHP 投稿者 yohgaki

Computer, Development, Programming

MOPB-04-2007:PHP 4 unserialize() ZVAL Reference Counter Overflow

3月 3, 2007 #MOPB, #PHP 投稿者 yohgaki

Computer, Development, Programming

MOPB-05-2007:PHP unserialize() 64 bit Array Creation Denial of Service Vulnerability

3月 2, 2007 #MOPB, #PHP 投稿者 yohgaki

Computer, Development, Programming

MOPB-03-2007:PHP Variable Destructor Deep Recursion Stack Overflow

3月 2, 2007 #MOPB, #PHP 投稿者 yohgaki

Computer, Development, Programming

MOPB-02-2007:PHP Executor Deep Recursion Stack Overflow

3月 2, 2007 #MOPB, #PHP 投稿者 yohgaki

Computer, Development, Programming

MOPB-01-2007:PHP 4 Userland ZVAL Reference Counter Overflow Vulnerability

3月 2, 2007 #MOPB, #PHP 投稿者 yohgaki

Computer, Development, Programming

the Month of PHP Bugs開始

3月 2, 2007 #MOPB, #PHP 投稿者 yohgaki

“the Month of PHP Bugs”が始まりました。できるだけ多くの方が読めるように、Stefanさんの承諾を得て、日本語訳を公開します。「the Month of PHP Bugs」カテゴリがMoPBの翻訳ページになります。

https://blog.ohgaki.net/tag/mopb

まずはトップページから翻訳します。分かりやすいように意訳できる部分は意訳します。厳密に原文の通り訳していないので正確性を重視される方は原文をご覧ください。念の為に記載します。私はPHPプロジェクトのコミッタですがHardened-PHP ProjectおよびMonth of PHP Bugsには関係がありません。日本のPHPユーザが置き去りにされないよう日本語訳を公開しているだけです。

誤訳、間違い、タイポなどがあった場合、指摘していただけると助かります。

http://www.php-security.org/

もっと読む

Computer, Development, Programming

Month of PHP bugs

2月 24, 2007 #MOPB, #PHP 投稿者 yohgaki

Stefanさんが公言していた通り、セキュリティホールの公開が3月から始まるそうです。

PHPの開発者は知っているがPHPの利用者はあまり知らないセキュリティ上の問題などもどんどん公開すればよいと思います。（セキュリティホールとして直すつもりがない物もあったりするので… )

たぶん私も知らない脆弱性もあるはずです。この忙しい時に対応しなければならないので困ったものです。せめて4月にしてもらいたい…

Development

問題：SSOの実装

2月 22, 2007 投稿者 yohgaki

WebサイトでSSO（Single Sign On）を実装するところも増えてきています。
比較的最近、SSO実装について議論する機会が幾つかありました。WebでSSOを実装する場合にどう実装すべきか議論したのですが、設計上に問題がある実装をイメージされている場合がありました。

Webサイトの場合、認証情報・状態を管理するサーバ（認証サーバ）とそれを利用するサーバ（認証クライアント）が通信してSSOを実現します。

SSOの目的は

認証情報（ユーザ名とパスワード）を一元管理する
認証状態（ログイン状態）を一元管理する

です。

問題：SSOの実装には認証サーバと認証クライアントの通信にユーザ名・パスワードは必要ありません。認証サーバと認証クライアント間の通信にユーザ名・パスワードが必要ないSSO実装を述べよ。

CAS（JA-SIG Central Authentication Service）、JOSSO、OpenSSO等を使う、と言う手もあります。（JOSSO 1.5はPHP、ASPのインターフェースもできたようです）これらのSSOシステムを使うと問題の意味がありません。LLだけで作ってもたいした手間ではないので解答は全部自前で実装することが前提です。適切なセッション管理を各認証クライアント（サーバ）が行っている事とします。

解答は別のブログエントリで。
# 忙しいので早くても再来週くらい、かな。

Computer, Development

PHP 5.2.1リリース

2月 12, 2007 #PHP 投稿者 yohgaki

情報としては古くなっていますが、念のため書きます。PHP 5.2.1がリリースされています。

JP-CERTのアドバイザリ（JPCERT/CC REPORT 2007-02-07）にMODxのXSSが記載されていましたがこっちの方が重要性は高いと思われます。次のアドバイザリでは記載されるかもしれませんが、例によってPHP4は置き去りにされているので、記載されない可能性も高いと思います。私が編集者だったらどうするかかなり迷います。
# MODxはコードをチラッとみただけで試すのを諦めたのですが
# いろいろあるようですね。

時間ができたらCode Blogの方にいろいろ書いてみたいと思っています。
# いつできるか？が問題だったり….

カテゴリー: Development