Udajne kriticka zranitelnost mod_php

[Dan Lukes]

On 22.10.2026 14:22, Jozef Drahovsky (for freebsd) wrote:
> Preto teraz od 486 pri spustení kódu z takzvaného pretečenia som dosť 
> opatrný.

Exploity zalozene na tom, ze nekam do pameti dostanu nejaky kod a 
dosahnu toho, ze se provede, jsou citlive na splneni spousty podminek. 
Konkretni verze OS a/nebo knihoven, roli muze hrat i konkretni verze 
prekladace, kterou byl kod prelozen a nastaveni systemu.

A mimo tyto mantinely exploit zpusobi pouze pad procesu bez 
perzistentnich efektu.

Pokud tam ta chyba opravdu existuje, v typickem pripade je nutne realny 
exploit "vyladit" na konkretni cil. A zde je, pred tim, nez clovek 
propadne panice, na miste pragmaticka otazka - jak moc mam "standardni 
prostredi" ? Protoze ten, komu pujde jen o ovladnuti stroje kvuli jeho 
vyuzitelnosti k utokum nekam dal, ten pujde po "standardnich systemech". 
Protoze tech je hodne. A pokud az tak standardni prostredi nemam - mam 
tu neco, o cem nekdo vi a mohl by se kvuli tomu chtit namahat ?

Cimz rozhodne nikoho nenapadam k podcenovani rizik. Ale ani opacny 
extrem neni na miste. Prekotnym upgrade mohou vzniknout skody a rizika, 
ktera mohou byt vetsi nez realne rizika, pred kterymi kterymi me mela 
uchranit.

> Aj mne napadlo, či náhodou nejde o sociálny experiment ako rýchlo 
> dokáže internetová komunita zareagovať, keď treba rozšíriť nový kód z 
> akéhokoľvek dôvodu.

I kdyz to tak (mozna?) planovane nebylo, stejne lze pozorovani pouzit.

> Ďalej vidím, že to čo napadlo mne napadlo ďalším.

Tenhle exploit neni az tak zasadne odlisny od exploitu, ktere tu byly uz 
v minulosti, - ale ty byly bez hystericke reakce. Na rozdil od tohohle. 
Takze "Qui bono" je naprosto logicka otazka.

> Nájdené zmeny v kóde zodpovedajú tomu čo sa propaguje

Samozrejme, Kdyz budu mit zly umysl, tak ty zmeny v kodu, ktere chci 
rozsirit, provedu uz driv. Teprve o nekolik verzi pozdeji vyvolam 
hysterii abych prechod uspisil.

Nemam indicie, ze se to v tomhle pripade stalo. Ale pokud/az nekdo 
takovy cil mit bude, udela to nejspis prave nejak takhle. Zkoumanim 
patche nic nezjistis, nebudes vedet jak daleko do minulosti koukat. A 
cim dal budes koukat, tim bude zmen vic a bude obtizne priradit je 
konkretnim zamerum.

Dan