2011年8月23日(火曜日)

cryptがsaltしか返さないバグ

公開: 2011年8月27日19時30分頃

こんな記事が出ています。

crypt関数がソルトしか返さないバグ PHP 5.3.7に重大なセキュリティ問題、アップデートはちょっと待った (www.atmarkit.co.jp)

crypt関数がソルトしか返さない!? 文字通りの意味だとしたらとんでもない話ですが、

crypt()は文字列のハッシュ値を返す関数で、元の値に「salt（ソルト）」という乱数を付けた値のハッシュを生成する（ソルト付きハッシュ値）。しかしバージョン5.3.7でMD5アルゴリズムを利用した場合、crypt関数は肝心のハッシュ値なしでソルトのみを返す。従って、これをパスワード認証などに利用しているアプリケーションでは、最悪の場合、任意のパスワードでログインできてしまう可能性がある。

以上、crypt関数がソルトしか返さないバグ PHP 5.3.7に重大なセキュリティ問題、アップデートはちょっと待ったより

そのまんま文字通りの意味でしたね。徳丸さんからも解説が出ています。

PHP5.3.7のcrypt関数に致命的な脆弱性(Bug #55439) (blog.tokumaru.org)

影響を受けるアプリケーション
crypt関数を用い、ハッシュアルゴリズムとしてMD5を指定しているアプリケーション。
環境にも依存しますが、デフォルトがMD5の場合もあります。筆者のテスト環境（CentOS5.6上のPHP5.1.6およびUbutu 10.04上のPHP5.3.7）では、デフォルトでMD5でした。

以上、PHP5.3.7のcrypt関数に致命的な脆弱性(Bug #55439) より

MD5の場合のみ影響を受けるということらしく、他のハッシュアルゴリズムなら大丈夫なようで。きょうびMD5なんて使わない……と言いたいところではありますが、そうも言っていられない場合もあるのでしょう。

これは明らかにPHPのバグで、すぐにアップデートされる予定のようですので、PHP5.3.8 のリリースを待ちましょう。

「cryptがsaltしか返さないバグ」にコメントを書く

関連する話題: セキュリティ / PHP

RLOによる拡張子偽装ウィルス

公開: 2011年8月27日16時40分頃

こんなお話が……「実行形式ファイルなのに「.doc」、拡張子を偽装するウイルスに注意制御文字「RLO」を使ったトリック、エフセキュアが報告 (pc.nikkeibp.co.jp)」。

RLOを悪用したウイルスは以前から確認されているが、最近、再び出回っているとして、同社では改めて注意を呼びかけている。

拡張子偽装の手法自体は2006年頃に話題になっていて、私も実験した記憶があります。最近はガチで出てきているようですのでご注意を。

「RLOによる拡張子偽装ウィルス」にコメントを書く