PHP 5.3.9 verhelpt hash table Denial of Service

Afgelopen 10 januari is PHP 5.3.9 uitgebracht. Deze versie brengt een fix voor de hash table Denial of Service (DoS), waarvoor ook ASP.NET kwetsbaar was.

Om deze kwetsbaarheid (dit beveiligingsprobleem) te verhelpen is in de PHP core een nieuwe directive opgenomen: max_input_vars. PHP Changelog:

• Added max_input_vars directive to prevent attacks based on hash collisions

In de documentatie is helaas nog niets terug te vinden over deze nieuwe directive. De standaard waarde is 1000, in het php.ini-bestand is deze waarde te veranderen:

; How many GET/POST/COOKIE input variables may be accepted
; max_input_vars = 1000

Hopelijk is dit per website aanpasbaar in user-defined php.ini-bestanden.