CSRF Tấn công và tấn công chiếm quyền điều khiển


12

Từ ghi chú phát hành 1.8CE Alpha:

Cửa hàng web Magento có thêm các biện pháp bảo vệ giả mạo yêu cầu trang web chéo (CSRF), nghĩa là kẻ mạo danh không còn có thể mạo danh một khách hàng mới đăng ký và thực hiện các hành động thay mặt khách hàng.

và:

Trong các phiên bản trước, Magento dễ bị tấn công cố định phiên trong quá trình đăng ký. Sau khi đăng nhập vào tài khoản của họ, ID phiên của người dùng đã đăng ký không thay đổi. Do đó, nếu kẻ tấn công có kiến ​​thức về ID phiên trái phép và nếu người dùng đó đăng ký thành công, kẻ tấn công có thể chiếm đoạt tài khoản mới đăng ký. Bây giờ, ID phiên thay đổi sau khi đăng ký thành công, khiến việc sử dụng trái phép tài khoản là không thể.

Nếu đây là trong ghi chú phát hành và tôi không thấy bản phát hành điểm trên các phiên bản trước giải quyết vấn đề này (tôi đang tìm sai chỗ?) - thì điều đó có nghĩa là các cửa hàng trước 1.8 hiện tại có khả năng mở cho các cuộc tấn công này vectơ ?

Nguồn: http : //www.magentoc Commerce.com/ledgeledge-base/entry/ce-18-later-release-notes


Tôi vừa cập nhật câu trả lời của tôi dưới đây với các chi tiết về việc nhận một bản vá cho các lỗ hổng này.
davidalger

Câu trả lời:


9

Tóm lại, vâng. CE 1.7 vẫn dễ bị tấn công bởi các cuộc tấn công cụ thể này vì không có bản phát hành bảo mật nào được phát hành có chứa bản vá.

Trong trường hợp sau, một cuộc tấn công sửa lỗi phiên, thay đổi là một bản nâng cấp trong các thực tiễn bảo mật mà Magento đã sử dụng để phù hợp với các thực tiễn tốt nhất về bảo mật hiện tại. Không phải thứ gì đó có khả năng được cấp cho CE 1.7 nếu chúng phát hành bản vá với bản sửa lỗi CSRF.

Câu hỏi thực sự là chính xác những lỗ hổng CSRF này đã được sửa là gì? Không nghi ngờ gì nữa là chúng không bao gồm các chi tiết cụ thể trong ghi chú phát hành, do đó gây nguy hiểm hơn nữa cho tất cả các bản phát hành trước đó, nhưng sẽ rất tốt nếu biết vì mục đích vá các triển khai cũ.

CẬP NHẬT # 1: Khi liên hệ với Magento để biết khi nào họ sẽ phát hành các bản vá cho các lỗ hổng trên, tôi đã nhận được câu trả lời sau:

Cho phép tôi một chút thời gian để nghiên cứu thêm. Tôi không chắc chắn nếu có các bản vá có sẵn cho hai mặt hàng đó, vì chúng được liệt kê trong hệ thống của chúng tôi dưới dạng cải tiến sản phẩm và không phải là lỗi. Tôi sẽ cập nhật cho bạn khi tôi có thêm thông tin.

Tôi sẽ đăng lại thông tin chi tiết ở đây khi tôi nhận được chúng, và sẽ cố gắng hết sức để có được các bản vá được phát hành vì dường như không có bản vá nào tồn tại.

CẬP NHẬT # 2: Sau khi qua lại với nhóm hỗ trợ, tôi đã có thể có được một bản vá thích hợp cho Magento EE 1.12.0.2. Không có bản vá nào được phát hành cho Magento CE 1.7.0.2, và theo như kỹ thuật viên đã xem xét nội bộ cho tôi biết, không có kế hoạch phát hành bản vá chính thức cho CE 1.7.x thay vào đó chỉ giải quyết các vấn đề trong CE 1.8 sắp tới Phiên bản ổn định.

Đối với tệp vá cụ thể EE, tôi không thể đăng trực tiếp (hoặc công cụ ứng dụng vá) ở đây vì chắc chắn nó sẽ vi phạm NDA giữa Magento và cá nhân tôi và công ty tôi làm việc. Tên của bản vá có liên quan là: "PATCH_SUPEE-1513_EE_1.12.0.2_v1.sh" - Nếu bạn có Phiên bản doanh nghiệp hoặc khách hàng sử dụng nó, bạn sẽ có thể yêu cầu bản vá này từ nhóm hỗ trợ Magento cùng với ghi chú về các lỗ hổng CSRF mà nó được cho là sẽ sửa.

Đối với người dùng CE 1.7.0.2, tôi có quyền tự do tạo tệp vá (dựa trên bản vá do Magento cung cấp) chỉ bao gồm các khối mã thay đổi tệp mã lõi Magento CE 1.7.0.2. Trong thời trang bình thường, nó bao gồm các bit không liên quan của các nhận xét được thêm vào và định dạng được điều chỉnh cùng với các thay đổi mã có liên quan. Tạo yêu cầu này thay đổi thủ công bản vá gốc để áp dụng bản vá bằng công cụ áp dụng bản vá được cung cấp, sau đó sử dụng git để tạo bản vá dựa trên các thay đổi được áp dụng.

Có thể tải xuống tệp vá mà tôi đã tạo từ ý chính này: https://gist.github.com/davidalger/5938568

Để áp dụng bản vá, đầu tiên cd vào thư mục gốc của bản cài đặt Magento của bạn và chạy lệnh sau: patch -p1 -i ./Magento_CE_1.7.0.2_v1-CSRF_Patch.diff

Bản vá cụ thể EE bao gồm kiểm tra xác thực khóa biểu mẫu cho các bộ điều khiển dành riêng cho Doanh nghiệp, các thay đổi đối với các tệp mẫu doanh nghiệp / mặc định và doanh nghiệp / iphone để bao gồm các khóa biểu mẫu trong các biểu mẫu được sử dụng cho các hành động của bộ điều khiển được vá và chức năng của Bộ đệm toàn bộ trang bổ sung để giải thích chính xác chuyển khóa biểu mẫu qua lại trên các trang được lưu trữ.

TUYÊN BỐ TỪ CHỐI: Tôi chưa KIỂM TRA bản vá EE do Magento cung cấp cũng như bản vá tôi đã tải lên cho ý chính được liên kết. Bản vá được cung cấp trong ý chính được tham chiếu được cung cấp KHÔNG CÓ BẢO HÀNH và có thể hoặc không thể giải quyết hoàn toàn các lỗ hổng được tham chiếu trong ghi chú phát hành CE 1.8. Là một bản vá chưa được kiểm tra, cũng không có gì đảm bảo rằng nó hoạt động toàn bộ hoặc một phần. Tức là sử dụng rủi ro của riêng bạn, và cần có sự siêng năng để kiểm tra trước khi triển khai vào môi trường sản xuất. Nếu bạn tìm thấy vấn đề với bản vá, hãy cho tôi biết và tôi sẽ cập nhật nó.


1
Bảo mật thông qua che khuất không phải là một ý tưởng tốt. Họ nên làm cho nó công khai để mọi người có thể vá cài đặt của mình. Hơn nữa, một sự khác biệt đơn giản giữa hai phiên bản sẽ cho bạn một ấn tượng khá tốt về cách thức hoạt động của cuộc tấn công và cách vá các bản cài đặt cũ hơn. Do đó, thông tin được đưa ra.
Darokthar

1
Đồng ý, tối nghĩa là không bảo mật tốt, và tôi chắc chắn không cố gắng chỉ ra điều đó. Tuy nhiên, công bố trách nhiệm là điều cần phải xem xét. Đối với tất cả những gì chúng ta biết, các lỗ hổng có thể đã được gửi tới Magento vài tuần trước khi phát hành công khai EE 1.13 và CE 1.8a1. FWIW, tôi sẽ liên hệ với một số người tại Magento để tìm hiểu xem họ có bản vá nào cho EE 1.12 chưa và kế hoạch nào dành cho 1.7 cài đặt; đặc biệt cho các lỗ hổng CSRF.
davidalger

Hãy xem bản cập nhật và chỉnh sửa câu hỏi / câu trả lời phù hợp nếu bản vá được phát hành. Cảm ơn.
philwinkle

Tôi vừa đăng một bản cập nhật với một câu trả lời sơ bộ mà tôi nhận được từ Magento. Có vẻ như hiện tại không có bất kỳ bản vá nào, vì vậy tôi sẽ xem những gì tôi có thể làm về điều đó. Tôi chắc chắn sẽ tiếp tục đăng bài ở đây và có thể trên twitter của tôi.
davidalger

2

Tôi không chắc chắn 100% vì tôi không thể tái tạo vấn đề nhưng

có nghĩa là một kẻ mạo danh không còn có thể mạo danh một khách hàng mới đăng ký

có nghĩa là cho đến bây giờ 'một kẻ mạo danh' có thể mạo danh một khách hàng mới đăng ký.
Tôi hy vọng nó chỉ là "ngữ nghĩa" nhưng tôi nghĩ nó có nghĩa là những gì bạn sợ nó có nghĩa.


cho đến bây giờ, có nghĩa là cố định trong 1.8 - hoặc bạn có ý nghĩa gì?
Fabian Blechschmidt

vâng ... đó là những gì tôi muốn nói
Marius
Khi sử dụng trang web của chúng tôi, bạn xác nhận rằng bạn đã đọc và hiểu Chính sách cookieChính sách bảo mật của chúng tôi.
Licensed under cc by-sa 3.0 with attribution required.