Nieuws
image

Al 40 lekken tijdens maand van PHP Security

vrijdag 21 mei 2010, 12:12 door Redactie, 4 reacties

Net als drie jaar geleden test PHP-goeroe Stefan Esser de beveiliging van PHP en dat heeft al veertig lekken opgeleverd. Tijdens de maand van de PHP Bugs in 2007 eindigde Esser met 44 kwetsbaarheden. Dit keer zal de eindscore waarschijnlijk hoger uitvallen. "Er zijn nog elf dagen tot het einde van mei en daarom zullen er nog voldoende lekken verschijnen", aldus Esser. De Duitser werd in 2008 nog tot de top 15 beveiligingsexperts uitgeroepen en heeft zichzelf als doel gesteld om PHP veiliger te maken.

Met name het aantal SQL injection lekken in PHP applicaties zal nog verder toenemen. "Het heet niet voor niets SQL injection marathon", zo laat de beveiligingsexpert weten. Op php-security.org worden alle gevonden beveiligingslekken vermeld.

Reacties (4)
21-05-2010, 13:08 door eMilt
Je mag SQL injection bugs in PHP applicaties natuurlijk niet verwijten aan PHP. Het is gewoon een fout van de programmeur van die PHP applicatie.
21-05-2010, 14:29 door SirDice
Door eMilt: Je mag SQL injection bugs in PHP applicaties natuurlijk niet verwijten aan PHP. Het is gewoon een fout van de programmeur van die PHP applicatie.
Helemaal mee eens. Maar in de "About" staat dat men kijkt naar het PHP ecosysteem:

This initiative continues the effort of Hardened-PHP's Month of PHP Bugs in 2007 to improve the security of PHP and the PHP ecosystem by disclosing vulnerabilities in PHP and PHP applications on the one hand and on the other hand by publishing articles and tools that help PHP application developers to develop more secure PHP applications.

Overigens denk ik dat als ze alle PHP applicaties zouden testen dat men heel wat meer bugs heeft dan die 40 die ze nu hebben.
21-05-2010, 15:10 door [Account Verwijderd]
[Verwijderd]
21-05-2010, 15:17 door Anoniem
Hij test ook lekken in PHP applicaties, waaronder SQL injecties. Hij heeft ook genoeg lekken in PHP gepubliceerd.

Wat ik wel erg jammer vind is dat voor de meeste van deze lekken hij niet de moeite neemt om de ontwikkelaars van te voren te waarschuwen en tijd te geven om de lekken te repareren alvorens naar buiten te treden met de lekken. Dit is onverantwoord IMHO. Enkele lekken zijn heel ernstig, bijv. de twee lekken in CMSQLite die hij ontdekte. De site van CMSQLite draait op CMSQLite... (valt me mee dat die nog niet defaced is)
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search