PHP 5.3.7に重大なセキュリティ問題、アップデートはちょっと待った － ＠IT

2011/08/23 PHP development teamは8月22日、PHP 5.3.7に重大な問題があることを明らかにした。数日以内に予定しているバージョン5.3.8のリリースまで、アップグレードを延期するよう呼び掛けている。 PHP 5.3系の最新バージョンであるPHP 5.3.7は、この8月18日に公開されたばかりだ。セキュリティフィックスも含め、90以上のバグを修正する内容となっていた。 しかしバグレポートやインターネット上のブログによると、PHP 5.3.7のcrypt関数には重大な問題が存在する。crypt()は文字列のハッシュ値を返す関数で、元の値に「salt（ソルト）」という乱数を付けた値のハッシュを生成する（ソルト付きハッシュ値）。しかしバージョン5.3.7でMD5アルゴリズムを利用した場合、crypt関数は肝心のハッシュ値なしでソルトのみを返す。従って、これをパス

[MinazukiBakera]

サブタイトルのインパクトが強すぎて目をゴシゴシしてしまうレベル: 「crypt関数がソルトしか返さないバグ」

[kamei_rio]

「バージョン5.3.7でMD5アルゴリズムを利用した場合、crypt関数は肝心のハッシュ値なしでソルトのみを返す」意味がわからない

[nilab]

「バージョン5.3.7でMD5アルゴリズムを利用した場合、crypt関数は肝心のハッシュ値なしでソルトのみを返す」PHP 5.3.7に重大なセキュリティ問題、アップデートはちょっと待った

[nextworker]

もはや古典だから、ソルトの意味とか理解しない人がソースいじっちゃったのかなあ。

[yadokari23]

via http://twitter.com/ockeghem/status/105960999751925760

[Yoshichika]

PerlistがPHPerを誹謗中傷する時間が始まります

[ockeghem]

crypt関数の脆弱性の件