宇宙最强语言 PHP 爆出 DoS 漏洞,可以直接灌满 CPU

[johnsneakers]

测了一下,真的可以。
消息详情:
http://www.nsfocus.com.cn/report/php_multipart-form-data_remote_dos_vulnerability_analysis_protection.pdf

[liuchen9586]

WHAT THE FUCK
有没有对策？

[crazycen]

很早之前博客换php5.6.5。目前不受影响！

[laoyuan]

CentOS 好弄，remi 库已经是5.4.41了，Ubuntu 还得编译

[moro]

官方已经更新了。

[yangxin0]

前几天patch都打上去了

[xavierskip]

怪不得1024这几天挂了

[w99wen]

@xavierskip 真爱

[seki]

wtf
看了一下 ubuntu LTS 的包补丁还没来……真的要让我下源码自己编译么……

[b821025551b]

我去升级了

[abscon]

@missdeer 为什么要停掉。中了这个漏洞最坏的结果也就是CPU跑满网站没有响应，你一停掉，相当于最坏的结果已经发生了——除非你这台服务器上还有其他更重要的非PHP的系统，需要确保它的运行

[surfire91]

@rwalle
这个工具不好使啊，提示“您的检测目标无法检测”

[rwalle]

@fork3rt 都受到影响，不过5.3及以前的版本php官方说已经不在支持生命周期内，不管了，自己看着办

[lincanbin]

为什么我用的PHP 5.6.5，却提示没有此漏洞？

[lyragosa]

测了一下是有漏洞

问题是怎么才能拖满100%呢？

[nellace]

简直炫酷。。。。

[johnsneakers]

@lyragosa
http://drops.wooyun.org/papers/6077

看这个，最后一个测试代码，脱下来改改

[582033]

@lyragosa 多创建几个进程发送请求,就100%了

拿自己blog试了下，一个进程就死翘翘了

[lyragosa]

@582033
@johnsneakers
感谢

不过我自己的个人网站却测试没有漏洞

上服务器看了下，php版本莫名其妙变成最新版了。估计是某些自动升级脚本处理的……

[invite]

宇宙最强的PHP，必须配置宇宙最强的CPU啊，这样的CPU，岂是DoS能搞定的？

[v1024]

这个已经修复了，目前看的是运维反应速度。