PHP5.3.7のcrypt関数に致命的な脆弱性(Bug #55439)

PHP5.3.7のcrypt関数には致命的な脆弱性があります。最悪のケースでは、任意のパスワードでログインできてしまうという事態が発生します。該当する利用者は、至急、後述する回避策を実施することを推奨します。 概要 PHPのcrypt関数は、ソルト付きハッシュ値を簡単に求めることができます（公式リファレンス）。crypt関数のハッシュアルゴリズムとしてMD5を指定した場合、ソルトのみが出力され、ハッシュ値が空になります。これは、crypt関数の結果がソルトのみに依存し、パスワードには影響されないことを意味し、crypt関数を認証に用いている場合、任意のパスワードでログインに成功する可能性があります。 影響を受けるアプリケーション crypt関数を用い、ハッシュアルゴリズムとしてMD5を指定しているアプリケーション。 環境にも依存しますが、デフォルトがMD5の場合もあります。筆者のテスト環境

[ockeghem]

日記書いた

[k-holy]

crypt()はSHA-2への移行を促すために身を挺して的になってくれたんです

[nakag0711]

単体テストで引っかかるのになぜかリリースされたらしい。

[VoQn]

「たとえばPHPを使わない」はやっぱり正しいんだ!!

[mattn]

crypt()は単純にsaltを生成する為の関数。覚えた。ぇ

[satosssi]

何突っ込んでも空いてしまう鍵穴になったなw

[tackman]

これはひどいｗｗｗ PHPはボケも一流だった！って業務でも個人でもPHPを使わない高見の物言いしてみるけど、これ仕事で使ってる人にはた耐え難いだろうな

[tsekine]

おいおいおい、こんなの単体テストで発見できるレベルだろ。さすがPHPと言わざるをえない

[fukken]

もはやギャグレベルで致命的だよなー▼ちなみに個人的には、少なくとも新規コードでは暗号化用途でのMD5の利用は避けた方が無難だと思う（暗号化の硬さの問題）。性能問題もあるけど、今だとBlowfishかSHA256？

[tsuyok]

え。。。これって結果的に脆弱性になっただけのバグでは。。。

[FJV_ZERO]

ソフトウエアの最新版が必ずしも安全ではないという良い例だなぁ～

[haseharu]

crypt

[nilab]

徳丸浩の日記: PHP5.3.7のcrypt関数に致命的な脆弱性(Bug #55439)

[ymm1x]

徳丸浩の日記: PHP5.3.7のcrypt関数に致命的な脆弱性(Bug #55439)

[mainyaa]

PHP… RT @zerobase ユニットテストがFAILしたままリリースしたと…→徳丸浩の日記: PHP5.3.7のcrypt関数に致命的な脆弱性(Bug #55439)

[hoco]

すげぇ！

[mumincacao]

任意のぱすってどうするのかと思ったら 5.3.7 になってから新規登録 or ぱす変更したひとのことかぁ・・・ （´ω【みかん

[raimon49]

すごいなこれは。いまどきmd5？っていうのはあるけど、環境によってはデフォルトなのか。

[ra1gawa]

そういうこと。

[u1tnk]

ひどすぎるかつ危険すぎる…

[tenkoma]

あちゃー

[overleo]

ふいた。なにこれ。

[K-Ono]

といってるあいだに5.3.8が出ましたな。／BTSは向こう時間17日登録なんだけど、これだけのタイムラグが出てたのはなんでやろ。

[kuippa]

cryptがだめならhash('sha256'とでも使えばいいじゃない。 といいつつ、crypt使ってるので・・・・・・寝る。5.3.7持っとらん。

[itochan]

これはひどい

[realbasic]

任意のパスワードでログインできる、ってことは無いはず。既存のアカウントには一切ログインできなくなるだろうけど。。

[Chisei]

まじかー

[mugencafe]

なるほど

[Nagise]

どうしてこうなった

[Kanasansoft]

これはいくらなんでも酷い...。

[wkoichi]

ハッシュが空になるという豪快なバグ…。こんなバグってあり得るんだ…。

[Cherenkov]

暗号化 MD5

[Kmusiclife]

PHP5.3.7やばい。PHP5.3.8に。

[hrdakinori]

えええ

[rokujyouhitoma]

またIPAに使うなって書かれちゃうぞ星☆

[tsupo]

crypt関数のハッシュアルゴリズムとしてMD5を指定した場合、ソルトのみが出力され、ハッシュ値が空になる → ひどすぎる

[celitan]

こんなことがあるのか・・・

[akahigeg]

まさに致命的

[tsucchi1022]

こんなセキュリティーホールが出ることもあるんだなー。ちょっとびっくり