SUPEE-6788 güvenlik yamasından hangi modüllerin etkilendiğini kontrol etme

27 Ekim 2015'te Magento, SUPEE-6788 güvenlik yamasını yayınladı. Göre teknik detaylar , giderildi 4 APPSEC yerel ve toplum modüllerde bazı rework gerektirir:

• APPSEC-1034, özel yönetici URL'sini atlayarak adresleme (varsayılan olarak devre dışı bırakılmıştır)
• APPSEC-1063, olası SQL enjeksiyonunu ele alıyor
• APPSEC-1057, şablon işleme yöntemi özel bilgilere erişim sağlar
• APPSEC-1079, özel seçenek dosya tipi ile potansiyel istismarın ele alınması

Bu güvenlik düzeltme ekinden hangi modüllerin etkilendiğini nasıl kontrol edeceğimi merak ediyordum.

Aşağıdaki kısmi çözüm buldum:

• APPSEC-1034: <use>admin</use>tüm yerel ve topluluk modüllerinin config.xml dosyasını arayın . Bunun, bu sorundan etkilenen tüm modülleri listelemesi gerektiğini düşünüyorum.
• APPSEC-1063: aramak addFieldToFilter('(ve addFieldToFilter('`yerel ve toplum modüllerinin tüm PHP dosyalarında. Değişkenler de kullanılabildiğinden, bu eksiktir.
• APPSEC-1057: yerel ve topluluk modüllerinin tüm PHP dosyalarını {{config path=ve {{block type=içindeki tüm dosyaları arayın ve beyaz listedeki tüm öğeleri filtreleyin. Ancak, yöneticiler tarafından eklenen herhangi bir şablon değişkeni içermediğinden bu eksiktir.
• APPSEC-1079: hiçbir fikrim yok.

Peter Jaap Blaakmeer tarafından derlenen APPSEC-1034 ve APPSEC-1063 için savunmasız olan bir eklenti listesi de bulunmaktadır.

SUPEE-6788 piyasaya sürüldü ve yönetici yönlendirme değişiklikleri varsayılan olarak kapalı. Bu, yamanın düzeltmeyi içerdiği, ancak yüklendiğinde devre dışı bırakılacağı anlamına gelir. Bu, kodunuzda güncellemeler yapmanız için size biraz zaman kazandıracak ve uzantıları ve özelleştirmeleri onunla çalışacak şekilde güncellendikten sonra satıcıya düzeltme ekinin bu bölümünü açma esnekliği sağlayacaktır.

Yüklemeden sonra uzantıların yönetici yönlendirme özelliğini etkinleştirmek için, Yönetici -> Gelişmiş -> Yönetici -> Güvenlik bölümüne gidin.

Magento CE 1.4-1.6 yamaları ertelenir ve yaklaşık bir hafta içinde hazır bulundurulmalıdır!

SUPEE-6788 Kaynak listesi

• Resmi ayrıntılar ve indir SUPEE-6788 - http://magento.com/security/patches/supee-6788 & https://www.magentocommerce.com/download

• SUPEE-6788 tartışmasını faydalı ipuçlarıyla nasıl uygulayabilirsiniz - https://magento.meta.stackexchange.com/a/734/2282

• SUPEE-6788’i SSH olmadan kurun - https://magentary.com/kb/install-supee-6788-without-ssh/

• CE için SUPEE-6788 1.7.0.1 - 1.9.2.1 GitHub'da - https://github.com/brentwpeterson/magento-patches/tree/master/current-patches/CE

• GitHub'da EE 1.12.x - 1.14.x için SUPEE-6788 - https://github.com/brentwpeterson/magento-patches/tree/master/current-patches/EE

• SUPEE-6788 ve Geriye Uyumluluk - https://info2.magento.com/rs/318-XBX-392/images/SUPEE-6788-Technical%20Details.pdf

• SUPEE-6788 / Magento 1.9.2.2 / EE ile kırılacak Eklenti listesi 1.14.2.2 - https://docs.google.com/spreadsheets/d/1LHJL6D6xm3vD349DJsDF88FBI_6PZvx_u3FioCtr/tr/tr/tr/tr/tr/tr/tr/tr/1/1 gid = 0

• Faydalı Magerun komutları https://github.com/peterjaap/magerun-addons

  • n98-magerun dev: template-var - SUPEE-6788 ve Magento 1.9.2.2 ile uyumlu olacak şekilde beyaz listeye alınmamış var / blokları bulun
  • n98-magerun.phar dev: old-admin-routing - Eski stil yönetici yönlendirmesini kullanan uzantıları bulun (hangi SUPEE-6788 ve Magento 1.9.2.2 ile uyumlu değil)

• Mağazanın yamalı olup olmadığını kontrol edin - https://www.magereport.com/

• Ön sayfadaki bazı özel bloklar yama kurulumundan sonra kayboldu - APPSEC-1057 Beyaz liste tablolarına değişkenler veya bloklar nasıl eklenir & https://www.pinpointdesigns.co.uk/blog/magento-ce-patch-supee -6788-özel-blok-sorun /

• Magento SUPEE-6788 Geliştirici Araç Kutusu - düzeltme ekinde bulunan önemli sorunları bulun ve otomatik olarak çözün https://github.com/rhoerr/supee-6788-toolbox

• MageDownload CLI - Magento sürümlerini ve yama indirmelerini otomatikleştirmek için kullanılan bir PHP aracı - https://github.com/steverobbins/magedownload-cli

• SUPEE-6788 için şablon değişkenleri ve blokları beyaz listeye alma - https://gist.github.com/avoelkl/f99e95c8caad700aee9

• Bilinen appsec etkilenen kod için Magento dosyalarını kontrol edin - https://github.com/Schrank/magento-appsec-file-check

• SUPEE 6788 Magento yama kurulumuyla ilgili genel sorunlar - http://www.atwix.com/magento/security-patch-supee-6788-installation-issues/

• Magento Patch SUPEE-6788 için performans iyileştirme - https://github.com/EcomDev/SUPEE6788-PerformanceFix , https://gist.github.com/DimaSoroka/a3e567ddc39bd6a39c4e , Ayrıntılar - http://www.magecore.com/blog / haber / performans sorunları-magento-güvenlik-yama-supee-6788

Çelişkileri tespit etme hakkındaki diğer yorumların yanı sıra, ParadoxLabs'ta APPSEC-1034 (yönetici kontrolörleri) ve APPSEC-1057'den (beyaz liste) etkilenen her şeyi izlemek için bir senaryo oluşturduk. Ayrıca, herhangi bir kötü denetleyiciyi düzeltmeye çalışacaktır, çünkü bu oldukça kesin ve istilacı bir değişiklik.

APPSEC-1063 (SQL enjeksiyon) veya APPSEC-1079 (özel seçenekler) kapsamaz, ancak eğer yapabilseydi harika olurdu. Bunları herhangi bir hassasiyetle nasıl tespit edeceğinden emin değilim. Katkılara açığız.

https://github.com/rhoerr/supee-6788-toolbox

Bu php betiği, önerilen SUPEE-6788 yamasından etkilenen Magento kodunu belirlemede faydalı olabilir .

Bu, bu düzeltme eki için kusursuz bir güvenlik kontrolü değildir , ancak kurulumunuzu etkilenen modüller ve kod için hızlı bir şekilde taramak için yararlı olabilir.

Komut dosyasını ile yükle

wget https://raw.githubusercontent.com/gaiterjones/magento-appsec-file-check/master/magento_appsec_file_check.php

Magento kurulumunuzun yolunu düzenleyin

$_magentoPath='/home/www/magento/';

Çalıştırmak

php magento_appsec_file_check.php

Etkilenen dosyalar gösterilecektir:

*** Magento security file check ***
[1] APPSEC-1034, addressing bypassing custom admin URL
2 effected files :
<use>admin</use> found in  app/code/community/Itabs/Debit/etc/config.xml
<use>admin</use> found in  app/code/core/Mage/Adminhtml/etc/config.xml


[2] APPSEC-1063, addressing possible SQL injection
2 effected files :
collection->addFieldToFilter(' found in  app/code/community/Itabs/Debit/Model/Export/Abstract.php
collection->addFieldToFilter(' found in  app/code/community/Itabs/Debit/controllers/Adminhtml/OrderController.php
collection->addFieldToFilter(' not found.
collection->addFieldToFilter('\` not found.
collection->addFieldToFilter('\` not found.


[3] APPSEC-1057, template processing method allows access to private information
{{config path= not found.
{{block type= not found.


***********************************

Komut dosyası, SUPEE-6788 uygulandığında özelleştirmeler veya uzantılarla geriye dönük uyumluluğunu muhtemelen bozabilecek kod oluşumları için Magento dosyalarını aramak için grep kullanır.

SUPEE-6788 ile bozulacak tüm uzantıların bulunduğu büyük bir liste zaten var

Burada daha fazla bilgi: https://docs.google.com/spreadsheets/d/1LHJL6D6xm3vD349DJsDF88FBI_6PZvx_u3FioC_1-rg/edit#gid=0

İçerik filtresi üzerinden işlenebilen izin verilen değişkenlerin listesi PDF'de gösterilenden daha büyük:

+ trans_email/ident_support/name
+ trans_email/ident_support/email
web/unsecure/base_url
web/secure/base_url
trans_email/ident_general/name
+ trans_email/ident_general/email
trans_email/ident_sales/name
trans_email/ident_sales/email
trans_email/ident_custom1/name
trans_email/ident_custom1/email
trans_email/ident_custom2/name
trans_email/ident_custom2/email
general/store_information/name
general/store_information/phone
general/store_information/address

( +PDF'de tanımlanmayan değişkenlerden önce bir ekledim )

İçerik filtresi aracılığıyla işlenebilecek izin verilen bloklar şunlardır:

core/template
catalog/product_new