Hosted Power deelt open-source veiligheidsgordel tegen PHP-lek
Terwijl de internationale IT-wereld zich opmaakt voor de officiële beveiligingsupdates rond de zogeheten 'php2shell'-kwetsbaarheden, waarschuwen experts dat een omvangrijke groep servers buiten de boot dreigt te vallen. De officiële herstelpatches van de PHP-ontwikkelaars zijn enkel voorzien voor ondersteunde versies (PHP 8.2 tot en me 8.5). Naar schatting draaien wereldwijd zo'n 884.000 aan het internet gekoppelde servers op oudere, niet-ondersteunde PHP-versies, waarvoor geen officiële updates meer verschijnen.
Om deze kwetsbare omgevingen te beschermen, heeft de Belgische managed hostingprovider Hosted Power op eigen initiatief een beveiligingsextensie ontwikkeld. CEO Jo Goossens en zijn team hebben het kwetsbare codepad geanalyseerd binnen alle PHP-broncodes van versie 5.6 tot en met 8.5 en dit vergeleken met beschikbare proof-of-concept-analyses. Op basis hiervan bouwden zij een gerichte patch die de problematische session upload-progress handler direct bij de opstart van PHP uitschakelt.
Open-source 'veiligheidsgordel' voor verouderde PHP-omgevingen
De ontwikkelde oplossing is uitgebracht als een compacte extensie van zo'n 60 regels code onder de naam php_uploadprogress_guard en is door Hosted Power als open-source software beschikbaar gesteld via GitHub.
In tegenstelling tot veelzijdige instellingen in het configuratiebestand php.ini kan deze oplossing niet door individuele websites of gebruikers worden omzeild, wat beheerders van grootschalige hostingomgevingen extra zekerheid biedt. Het Belgische bedrijf heeft de extensie inmiddels uitgerold op al zijn beheerde Debian-, cPanel- en DirectAdmin-servers.
Goossens benadrukt dat de eigen extensie moet worden gezien als een noodzakelijke veiligheidsgordel en niet als een volledige vervanging van de officiële patches. Omdat de exacte technische details van het lek pas later op de dag definitief bekend worden gemaakt door het PHP-coreteam, controleert het bedrijf de werking van hun extensie zodra de officiële advisories verschijnen.
Voor organisaties die gebonden zijn aan oudere PHP-omgevingen biedt het initiatief echter een cruciale eerste verdedigingslinie tegen mogelijke misbruikpogingen.
Update
Goossens meldt in een update: "Na de officiële advisories van vanmiddag hebben we versie 3 van de extensie uitgebracht. Op een typische PHP-FPM-hosting sluit die de aanvalsroutes die de advisories beschrijven vóór de applicatiecode start. De upload-parser draagt nu PHP's eigen hardening mee, zodat hij niet meer zonder geheugen kan vallen. De boodschap blijft dezelfde: een veiligheidsgordel. De officiële update (8.5.12, 8.4.27, 8.3.36, 8.2.35, of een backport van je leverancier) blijft de enige volledige oplossing."
Meer over Security
Over Witold Kepinski
