CSRF Saldırısı ve Oturum Hijack Güvenlik Açığı


12

1.8CE Alpha sürüm notlarından:

Magento web mağazasında ek Siteler Arası İstek Sahteciliği (CSRF) korumaları vardır, bu da bir sahtekârın yeni kayıtlı bir müşteriyi taklit edemeyeceği ve müşterinin adına işlem yapamayacağı anlamına gelir.

ve:

Önceki sürümlerde Magento, kayıt işlemi sırasında bir oturum tespit saldırısına karşı savunmasızdı. Hesaplarına giriş yaptıktan sonra, kayıtlı bir kullanıcının oturum kimliği değişmedi. Bu nedenle, bir saldırganın yetkisiz bir oturum kimliği hakkında bilgi sahibi olması ve bu kullanıcının başarıyla kaydolması durumunda, saldırgan yeni kaydedilen hesabı devralmayı başardı. Artık oturum kimliği, başarılı bir kayıttan sonra değişir ve bir hesabın yetkisiz kullanımını imkansız hale getirir.

Bu sürüm notlarındaysa ve bunu ele alan önceki sürümlerde bir nokta sürümü görmüyorum (yanlış yere mi bakıyorum?) - o zaman mevcut 1.8 öncesi mağazaların potansiyel olarak bu saldırılara açık olduğu anlamına mı geliyor? vektörler ?

Kaynak: http://www.magentocommerce.com/knowledge-base/entry/ce-18-later-release-notes


Aşağıdaki cevabımı bu güvenlik açıkları için düzeltme eki almakla ilgili ayrıntılarla güncelledim.
davidalger

Yanıtlar:


9

Kısacası, evet. CE 1.7, bu özel saldırılara karşı hala savunmasızdır, çünkü düzeltme eki içeren bir güvenlik sürümü yayınlanmamıştır.

Sonuncusu olan bir oturum tespit saldırısı durumunda, değişiklik Magento'nun şimdiki güvenlik en iyi uygulamalarına uymak için önceden kullandığı güvenlik uygulamalarındaki bir yükseltmedir. CSRF düzeltmeleriyle ilgili bir düzeltme eki yayınlarlarsa CE 1.7'ye verilmesi muhtemel bir şey değildir.

Asıl soru, düzeltilen bu CSRF açıklarının tam olarak neydi? Kuşkusuz, sürüm notlarına spesifikasyonlar eklemedikleri iyi bir şeydir, böylece önceki tüm sürümleri daha da tehlikeye sokarlar, ancak eski uygulamaları yamalamak için bilmek güzel olurdu.

GÜNCELLEME # 1: Yukarıdaki güvenlik açıkları için ne zaman yama yayınlayacaklarını öğrenmek için Magento'ya ulaştıktan sonra, aşağıdaki yanıtı aldım:

Bunu biraz daha araştırmama izin verin. Sistemimizde hata olarak değil, ürün geliştirmeleri olarak listelendikleri için, bu iki öğe için kullanılabilir yamalar olup olmadığından emin değilim. Daha fazla bilgi aldığımda sizi güncelleyeceğim.

Onları alırken daha fazla ayrıntıyı buraya göndereceğim ve şu anda var olan herhangi bir yama olmadığı anlaşılan yamaları yayınlamak için elimden geleni yapacağım.

GÜNCELLEME # 2: Destek ekibiyle ileri geri hareket ettikten sonra Magento EE 1.12.0.2 için uygun bir yama elde edebildim. Magento CE 1.7.0.2 için bir yama yayınlanmadı ve benim için dahili olarak bakan teknisyenin bildiği kadarıyla, CE 1.7.x için resmi bir yama yayınlamanın herhangi bir sorunu yoktur, bunun yerine sorunları sadece yaklaşan CE 1.8'de çözmek kararlı salım.

EE'ye özgü yama dosyasına gelince, doğrudan buraya gönderemiyorum (veya yama uygulama aracını) çünkü şüphesiz Magento ile kendim ve çalıştığım şirket arasındaki NDA'yı ihlal edecekti. İlgili düzeltme ekinin adı: "PATCH_SUPEE-1513_EE_1.12.0.2_v1.sh" - Enterprise Edition veya bunu kullanan bir istemciniz varsa, bu düzeltme ekini Magento destek ekibinden, düzeltmesi gereken CSRF güvenlik açıkları.

CE 1.7.0.2 kullanıcıları için, yalnızca Magento CE 1.7.0.2 çekirdek kod dosyalarını değiştiren kod parçalarını içeren bir yama dosyası (Magento tarafından sağlanan yamaya dayalı) oluşturma özgürlüğünü aldım. Normal şekilde, ilgili kod değişiklikleriyle birlikte eklenen yorumların alakasız bitlerini ve ayarlanmış biçimlendirmeyi içerir. Bunu oluşturmak için, sağlanan yamayı uygulama aracını kullanarak orijinal yamayı uygulamak, sonra da uygulanan değişikliklere dayalı bir yama oluşturmak için git'i kullanmak gerekir.

Oluşturduğum yama dosyası şu özden indirilebilir: https://gist.github.com/davidalger/5938568

Düzeltme ekini uygulamak için önce Magento kurulumunuzun kök dizinine cd yapın ve aşağıdaki komutu çalıştırın: patch -p1 -i ./Magento_CE_1.7.0.2_v1-CSRF_Patch.diff

EE'ye özgü düzeltme eki, kuruluşa özgü denetleyicilere form anahtarı doğrulama denetimleri, yama / denetleyici eylemleri için kullanılan formlara form anahtarları dahil etmek için kurumsal / varsayılan ve kurumsal / iphone şablon dosyalarında değişiklikler ve düzgün bir şekilde hesaplamak için ek Tam Sayfa Önbellek işlevi form anahtarlarını önbelleğe alınmış sayfalarda ileri geri aktarma.

YASAL UYARI: Ne Magento tarafından sağlanan EE ya da bağlı gist yüklediğim yama TEST ETMEM. Referans verilen özette sağlanan yama GARANTİ VERİLMEMEKTEDİR ve CE 1.8 sürüm notlarında belirtilen güvenlik açıklarını tam olarak çözebilir veya çözemeyebilir. Test edilmemiş bir yama olarak, kısmen veya tamamen işlev gördüğünün garantisi yoktur. Kendi sorumluluğunuzdadır kullanın ve bir üretim ortamına konuşlandırmadan önce test etmek için gereken özeni gösterin. Yama ile ilgili sorunlar bulursanız, bana bildirin, güncelleyeceğim.


1
Belirsizlik yoluyla güvenlik iyi bir fikir değildir. Herkesin kurulumunu yaması için herkese açık hale getirmeleri gerekiyor. Ayrıca, iki sürüm arasındaki basit bir fark, saldırının nasıl çalıştığı ve eski kurulumların nasıl yamalanacağı konusunda oldukça iyi bir izlenim bırakmalıdır. Bu nedenle bilgi zaten yok.
Darokthar

1
Anlaşıldı, müstehcenlik iyi bir güvenlik değil ve kesinlikle bunu göstermeye çalışmıyordum . Ancak, sorumlu açıklama dikkate alınması gereken bir konudur. Tüm bildiğimiz kadarıyla, güvenlik açıkları EE 1.13 ve CE 1.8a1'in kamuya açıklanmasından haftalar önce Magento'ya sunulabilirdi. FWIW, henüz EE 1.12 için yamaları olup olmadığını ve 1.7 kurulum için hangi planların olduğunu öğrenmek için Magento'daki bazı kişilerle iletişime geçeceğim; özellikle CSRF güvenlik açıkları için.
davidalger

Bir güncelleme izleyelim ve bir yama yayınlanırsa soruyu / yanıtı düzenleyelim. Teşekkürler.
philwinkle

Magento'dan aldığım ön cevapla bir güncelleme yayınladım. Şu anda herhangi bir yama yok gibi görünüyor, bu yüzden bu konuda ne yapabileceğimi göreceğim. Kesinlikle hepinizi burada tutacağım ... burada ve muhtemelen benim Twitter'da.
davidalger

2

% 100 emin değilim çünkü sorunu tekrarlayamadım ama

Yani bir sahtekâr artık yeni kayıtlı bir müşteriyi taklit edemez

şimdiye kadar 'bir sahtekâr' yeni kayıtlı bir müşteri kimliğine bürünebilir anlamına gelir.
Umarım bu sadece 'anlambilimdir' ama bence korktuğunuz anlamına gelir.


şimdiye kadar, 1.8'de sabit anlamına gelir - ya ne demek istiyorsun?
Fabian Blechschmidt

Evet ... Demek istediğim bu.
Marius
Sitemizi kullandığınızda şunları okuyup anladığınızı kabul etmiş olursunuz: Çerez Politikası ve Gizlilik Politikası.
Licensed under cc by-sa 3.0 with attribution required.