Cross-Site-Skripting Attacken kommen in Web-Applikationen immer wieder vor. Ein entfernter Angreifer kann dadurch Programm-Code mit höheren Privilegien im Browser starten. Oft fügen Angreifer so Javascript-Code ein. Cross-Site-Skripting-Schwachstellen entstehen meist dann, wenn Applikationen Benutzereingaben nicht richtig filtern. So gelingt es Angreifern dann Code in die Web-Applikation einzuschleusen. Vor allem via URL übergebene Parameter und Variablen sind hierfür anfällig.
Wie sich nun herausstellte ist die PHP Phar-404-Fehlerseite auch von einer solchen Schwachstelle betroffen. Die PHP PHar-Erweiterung kann ganze PHP-Applikationen in eine Datei packen – in ein sogenanntes Phar-Archiv. Dies vereinfacht dann die Verteilung und Installation entsprechender Applikationen. In diesen Routinen hat sich nun ein Fehler beim Erzeugen der 404-Fehlerseite eingeschlichen, wenn eine Webseite nicht auffindbar ist. In diesem Fall filtert der Programmcode die aufgerufene URL nicht richtig, womit es zu einer typischen Cross-site-Skripting-Scwachstelle kommt. Die Attacke ist mit einer speziell konstruierten URL möglich. Systeme mit .phar-Unterstützung sind betroffen von dieser Sicherheitslücke.
