PHP resuelve vulnerabilidad crítica en PHP-CGI

El Grupo responsable del desarrollo del lenguaje PHP ha publicado nuevas versiones PHP 5.4.3 or PHP 5.3.13 que resuelven una vulnerabilidad crítica que permitía la ejecución remota de código en servidores web con PHP, que se ejecuten como interfaz de entrada común o CGI.

Es la segunda actualización de seguridad en la última semana desde que el grupo Eindbazen hiciera pública la vulnerabilidad etiquetada como CVE-2012-1823, descubierta en el mes de febrero y para la que ya se había detectado un exploit que la aprovechaba y aumentaba exponencialmente la peligrosidad en ejecuciones CGI de una parte de los más de 20 millones de sitios web y en un millón de servidores.

Es por ello que se recomienda la actualización inmediata a través del código fuente o preferiblemente de los mecanismos de actualización de paquetes de Linux y para Windows desde este enlace.

Como alternativa, si no se puede actualizar, el fabricante propone las siguientes reglas del módulo mod_rewrite de Apache para bloquear las URLs maliciosas:

RewriteCond %{QUERY_STRING} ^(%2d|-)[^=]+$ [NC]
RewriteRule ^(.*) $1? [L]