Lỗ hổng Magento swf XSS - Làm thế nào để giải quyết nó?

Theo lỗ hổng SWF / Flash được liệt kê tại: http://appcheck-ng.com/unpatched-vulnerabilites-in-magento-e-c Commerce-pl platform /

mà tôi đã xác minh vẫn còn tồn tại trong Magento 1.9.1.0, phương pháp tốt nhất để giải quyết vấn đề này là gì? Bất kỳ vấn đề nào với việc chặn hoặc hạn chế quyền truy cập vào các tệp swf này?

— Rob Mangiafico
nguồn

Theo Piotr Kaminski, nó đã được vá vào 1.9.1.0. twitter.com/molotovbliss/status/537257580322488320

— B00mer

ok, tôi nghĩ rằng tôi thấy tại sao tôi nghĩ 1.9.1.0 vẫn dễ bị tấn công. Tôi đã thử nghiệm nó trên một số cửa hàng Magento đã nâng cấp từ 1.9.0.1 và trình soạn thảo tệp.swf (không được sử dụng trong 1.9.1.0) vẫn ở đó từ các phiên bản cũ hơn, vì vậy nó vẫn hiển thị cảnh báo. appcheck liệt kê uploader.swf và uploaderSingle.swf là dễ bị tấn công, nhưng tôi không thể nhận được cảnh báo xuất hiện trên bất kỳ phiên bản nào sử dụng các tệp này. Tôi thấy 1.9.1.0 đã nâng cấp cả hai tệp swf của trình tải lên, vì vậy có vẻ như chúng đã được vá. Đối với các phiên bản 1.9.0.1 cũ hơn và cũ hơn, có bản vá / cách khắc phục nào có thể được sử dụng để giảm thiểu rủi ro bên cạnh việc nâng cấp không?

— Rob Mangiafico

Bạn có thể thử và thay thế hai tệp .swf và xem nếu nó không phá vỡ bất kỳ chức năng nào, nếu nó có thể có mã để được vá. Thật không may, có vẻ như Magento không có bản vá chính thức cho nó trên các bản phát hành cũ.

— B00mer

Đây có lẽ không phải là câu trả lời Stack Exchange hợp lệ 100% vì tôi không thể cung cấp giải pháp đầy đủ nhưng tôi nghĩ tốt hơn là đăng bài này hơn là không có gì.

Có một bản vá từ Hỗ trợ doanh nghiệp để giải quyết vấn đề. Tôi không được phép xuất bản bản vá nhưng nếu bạn là Khách hàng Doanh nghiệp, bạn có thể yêu cầu bản vá vì nó cũng tương thích với một số phiên bản CE.

Đây là một số thông tin mà tôi hy vọng tôi có thể chia sẻ mà không gặp rắc rối:

Bản vá xóa hai tệp SWF và sửa đổi SWF của trình tải lên.

Tôi được cho biết bản vá được cung cấp tương thích với các phiên bản CE này:

1.4. *, 1.5.0.1, 1.6.0.0, 1.6.1.0, 1.7.0.0, 1.7.0.2, 1.8.0.0

Hơn nữa, nó tương thích với tất cả các phiên bản EE <1.14.0.0 nên tôi đoán bản vá được bao gồm trong EE 1.14. Điều đó có nghĩa là nó cũng được bao gồm trong CE 1.9.

[Cập nhật] Tôi được thông báo bởi bộ phận hỗ trợ rằng bản vá đã được tích hợp vào CE 1.9.1. Vì vậy, giải pháp nên là cập nhật lên CE 1.9.1.0 hoặc yêu cầu bản vá này trực tiếp từ Magento.

— Matthias Zeis
nguồn