GulfTech研发公司近日表示，在一个Web服务协议中发现的两个安全漏洞有可能允许攻击者控制脆弱的服务器。这两个漏洞来自XML-RPC For PHP和PEAR XML_RPC中，将影响大量的Web应用。
基于XML的远程过程调用(RPC)系统(如XML-RPC)和HTTP一道共同驱动Web服务。XML-RPC For PHP和PEAR XML_RPC用于为PHP脚本语言实现XML-RPC。据GulfTech介绍，该协议叫PHPXMLRPC，被用于许多流行的Web应用，如PostNuke、Drupal、b2evolution和TikiWiki。GulfTech表示:“PHPXMLRPC有一个非常危险的PHP代码执行漏洞，有可能允许攻击者破坏脆弱的Web服务器。”PEAR XML_RPC中的漏洞和PHPXMLRPC中的漏洞有关，但有所不同。
GulfTech还认为，漏洞是由该组件未能正常检验进入XMLRPC服务器的parseRequest()函数的一个eval()调用的数据引起的。通过建立一个利用单引号进入eval()调用的XML文件，攻击者可以容易地在目标服务器上执行PHP代码。
最新发布的新版PHPXMLRPC已经解决了这个问题。对一些使用该组件的应用，如eGroupWare和phpGroupWare，安全厂商Secunia建议限制对XML-RPC功能的访问。
