Apache mod_php全局变量信息泄露漏洞

漏洞信息详情

Apache mod_php全局变量信息泄露漏洞

• CNNVD编号：CNNVD-200411-079
• 危害等级： 中危
  
  
• CVE编号：
  CVE-2004-0263
  
• 漏洞类型：
  
  
  未知
  
• 发布时间：
  
  2004-02-07
  
• 威胁类型：
  
  
  远程
  
• 更新时间：
  
  2006-08-31
  
• 厂        商：
  
  apache
• 漏洞来源：
  Gentoo Linux Secur…

Apache mod_php是用于解析PHP的Apache模块。
Apache mod_php在部分设置的情况下存在问题，远程攻击者可以利用这个漏洞获得敏感信息。
如果服务器配置文件\”php.ini\”设置\”register_globals = on\”，及提交一个请求给虚拟主机(虚拟主机包含\”php_admin_flag register_globals off\”设置)，如果下一个请求通过相同apache子进程发送给其他的虚拟主机(此虚拟主机没有任何设置)，那么服务器部分设置就会泄露。
根据服务器和站点配置，攻击者可能获得全局变量信息，如MySQL密码等。

厂商补丁：
Apache Software Foundation
————————–
Gentoo Linux建议升级到mode_php 4.3.4-r4版本：

执行如下命令：

# emerge sync

# emerge -pv “>=dev-php/mod_php-4.3.4-r4”

# emerge “>=dev-php/mod_php-4.3.4-r4”

来源: XF
名称: php-virtualhost-info-disclosure(15072)
链接:http://xforce.iss.net/xforce/xfdb/15072

来源: BID
名称: 9599
链接:http://www.securityfocus.com/bid/9599

来源: OSVDB
名称: 3878
链接:http://www.osvdb.org/3878

来源: GENTOO
名称: GLSA-200402-01
链接:http://http://security.gentoo.org/glsa/glsa-200402-01.xml