PHP mcrypt_create_iv不安全加密实现漏洞

受影响系统：   
" o* e  C' O% T5 b+ rPHP PHP <= 5.2.1  
+ I" K! Z1 o, B1 {# F2 {& ?6 K" k5 H8 I' S/ i
描述：  
" j% M5 {& Y, ~% ~0 hBUGTRAQ  ID: 23984, e& t6 u/ b* q0 L

! F+ W  \8 R! }& L0 Q: F( SPHP是广泛使用的通用目的脚本语言，特别适合于Web开发，可嵌入到HTML中。
8 k! }+ [! q( U% Z1 j6 T5 r
+ W% }) ~& q+ h/ DPHP生成随机加密种子的算法上存在漏洞，远程攻击者可能利用此漏洞获取非授权访问。
: H1 Y6 c9 o! R" J6 ?
9 T- g+ k- @, e* \; [; KPHP的mcrypt_create_iv()函数以未初始化的变量做为种子调用php_rand_r()，导致生成器反复生成相同的IV，具体取决于系统的栈结构。在某些情况下栈结构可能导致生成完全可预测的种子，因此也会生成可预测的IV，而非随机的IV会导致较弱的加密算法。
, C3 d6 x0 D/ M) G' Q; a* @
8 P: o9 c$ O6 `6 A3 M, F<*来源：Stefan Essar7 ^& [2 F3 P4 D; M  M0 x7 o. ]+ P
  
4 \: _% P$ L, ]! J( [1 K$ d8 U  链接：http://bugs.php.net/bug.php?id=40999
( c& u8 b9 F6 G  j( B: A; t        http://blog.php-security.org/archives/80-Watching-the-PHP-CVS.html
& ^9 {* }1 h# J3 T: g*>
0 I3 Z2 V  W4 e5 C; a: ]% [/ d  7 _, F$ z+ n( n, [* x" z. V+ f9 B) [8 _
建议：  6 H) H$ e  t+ |8 a$ U& m) f9 q
厂商补丁：% O) F7 |& o9 e+ Y6 K  M
7 t. P* W' I0 e4 e7 n' `4 ?4 U
PHP; w1 T5 M1 D! g1 ?6 p+ i% O
---
' S6 n9 c/ c. P; p目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：; M& ^4 v8 n  y; ]
% j1 e1 w# Q# E; s+ }
http://www.fortheloot.com/public/mcrypt.patch