Cách kiểm tra mô-đun nào bị ảnh hưởng bởi bản vá bảo mật SUPEE-6788

Vào ngày 27 tháng 10 năm 2015, Magento đã phát hành bản vá bảo mật SUPEE-6788. Theo các chi tiết kỹ thuật , 4 APPSEC đã được sửa chữa yêu cầu một số thao tác lại trong các mô-đun địa phương và cộng đồng:

• APPSEC-1034, giải quyết bỏ qua URL quản trị viên tùy chỉnh (bị tắt theo mặc định)
• APPSEC-1063, giải quyết vấn đề SQL có thể
• APPSEC-1057, phương thức xử lý mẫu cho phép truy cập thông tin cá nhân
• APPSEC-1079, giải quyết khai thác tiềm năng với loại tệp tùy chọn tùy chỉnh

Tôi đã tự hỏi làm thế nào để kiểm tra các mô-đun bị ảnh hưởng bởi bản vá bảo mật này.

Tôi đã đưa ra giải pháp một phần sau đây:

• APPSEC-1034: tìm kiếm <use>admin</use>trong tệp config.xml của tất cả các mô-đun cục bộ và cộng đồng. Tôi nghĩ rằng điều này nên liệt kê tất cả các mô-đun bị ảnh hưởng bởi vấn đề này.
• APPSEC-1063: tìm kiếm addFieldToFilter('(và addFieldToFilter('`trong tất cả các tệp PHP của các mô đun cộng đồng và cục bộ. Điều này là không đầy đủ, vì các biến cũng có thể được sử dụng.
• APPSEC-1057: tìm kiếm {{config path=và {{block type=trong tất cả các tệp PHP của các mô đun cộng đồng và cục bộ và lọc ra tất cả các yếu tố từ danh sách trắng. Điều này là không đầy đủ, tuy nhiên nó không chứa bất kỳ biến mẫu nào được thêm bởi quản trị viên.
• APPSEC-1079: không có ý tưởng.

Ngoài ra còn có một danh sách các phần mở rộng dễ bị tổn thương cho APPSEC-1034 và APPSEC-1063 do Peter Jaap Blaakmeer biên soạn

SUPEE-6788 được phát hành và thay đổi định tuyến quản trị viên bị tắt theo mặc định. Điều này có nghĩa là bản vá bao gồm bản sửa lỗi, nhưng nó sẽ bị vô hiệu hóa khi cài đặt. Điều này sẽ cung cấp cho bạn thêm thời gian để thực hiện cập nhật mã của bạn và sẽ cho phép người bán linh hoạt bật phần này của bản vá một khi các tiện ích mở rộng và tùy chỉnh của họ đã được cập nhật để hoạt động với nó.

Để bật khả năng định tuyến của quản trị viên cho các tiện ích mở rộng sau khi cài đặt đường dẫn, hãy đi tới Quản trị viên -> Nâng cao -> Quản trị viên -> Bảo mật.

Các bản vá Magento CE 1.4-1.6 bị trì hoãn và sẽ có trong khoảng một tuần!

Danh sách tài nguyên SUPEE-6788

• Chi tiết chính thức và tải xuống SUPEE-6788 - http://magento.com/security/patches/supee-6788 & https: //www.magentoc Commerce.com/d Download

• Cách áp dụng thảo luận SUPEE-6788 với các mẹo hữu ích - https://magento.meta.stackexchange.com/a/734/2282

• Cài đặt SUPEE-6788 mà không cần SSH - https://magentary.com/kb/install-supee-6788-without-ssh/

• SUPEE-6788 cho CE 1.7.0.1 - 1.9.2.1 trên GitHub - https://github.com/brentwpeterson/magento-patches/tree/master/civerse-patches/CE

• SUPEE-6788 cho EE 1.12.x - 1.14.x trên GitHub - https://github.com/brentwpeterson/magento-patches/tree/master/civerse-patches/EE

• SUPEE-6788 và Khả năng tương thích ngược - https://info2.magento.com/rs/318-XBX-392/images/SUPEE-6788-Technical%20Details.pdf

• Danh sách các tiện ích mở rộng được cộng đồng cập nhật sẽ được cập nhật với SUPEE-6788 / Magento 1.9.2.2 / EE 1.14.2.2 - https://docs.google.com.vn/s dàn tính / d / 1LHJL6D6xm3vD349DJsDF88FBI_6PZvx_u3FioC gid = 0

• Các lệnh Magerun hữu ích https://github.com/peterjaap/magerun-addons

  • n98-magerun dev: template-var - Tìm các vars / khối không thuộc danh sách trắng để tương thích với SUPEE-6788 và Magento 1.9.2.2
  • n98-magerun.phar dev: old-admin-định tuyến - Tìm các tiện ích mở rộng sử dụng định tuyến quản trị kiểu cũ (không tương thích với SUPEE-6788 và Magento 1.9.2.2)

• Kiểm tra nếu cửa hàng được vá / bị ảnh hưởng - https://www.magereport.com/

• Một số khối tùy chỉnh trên trang trước đã biến mất sau khi cài đặt bản vá - APPSEC-1057 Cách thêm biến hoặc khối vào bảng danh sách trắng & https://www.pinpointdesigns.co.uk/blog/magento-ce-patch-supee -6788-custom-blocks-vấn đề /

• Hộp công cụ dành cho nhà phát triển Magento SUPEE-6788 - tìm và tự động giải quyết các sự cố lớn từ bản vá https://github.com/rhoerr/supee-6788-toolbox

• MageD Download CLI - Một công cụ PHP để tự động phát hành Magento và tải xuống bản vá - https://github.com/steverobbins/magedoad-cli

• Cách liệt kê các biến và khối mẫu trong danh sách trắng cho SUPEE-6788 - https://gist.github.com/avoelkl/f99e95c8caad700aee9

• Kiểm tra tệp Magento để biết mã ứng dụng đã biết bị ảnh hưởng - https://github.com/Schrank/magento-appsec-file-check

• Các sự cố thường gặp khi cài đặt bản vá SUPEE 6788 Magento - http://www.atwix.com/magento/security-patch-supee-6788-installation-issues/

• Cải thiện hiệu suất cho Magento Patch SUPEE-6788 - https://github.com/EcomDev/SUPEE6788-PerformanceFix , https://gist.github.com/DimaSoroka/a3e567ddc39bd6a39c4e , Chi tiết - http://www.magecore.com/blog / tin tức / hiệu suất-vấn đề-magento-bảo mật-vá-supee-6788

Cùng với những bình luận khác về việc phát hiện xung đột, tại ParadoxLabs, chúng tôi đã tạo ra một kịch bản để theo dõi mọi thứ bị ảnh hưởng bởi APPSEC-1034 (bộ điều khiển quản trị) và APPSEC-1057 (danh sách trắng). Nó cũng sẽ cố gắng khắc phục bất kỳ bộ điều khiển xấu nào, vì đó là một thay đổi khá chính xác và xâm lấn.

Nó không bao gồm APPSEC-1063 (SQL tiêm) hoặc APPSEC-1079 (tùy chọn tùy chỉnh), nhưng sẽ rất tuyệt nếu có thể. Không chắc chắn làm thế nào để phát hiện những người có bất kỳ loại chính xác. Chúng tôi sẵn sàng đóng góp.

https://github.com/rhoerr/supee-6788-toolbox

Tập lệnh php này có thể hữu ích trong việc xác định mã Magento bị ảnh hưởng bởi bản vá SUPEE-6788 được đề xuất .

Đây không phải là cách kiểm tra bảo mật hoàn hảo cho bản vá này, nhưng có thể hữu ích để nhanh chóng quét cài đặt của bạn cho các mô-đun và mã bị ảnh hưởng.

Cài đặt tập lệnh với

wget https://raw.githubusercontent.com/gaiterjones/magento-appsec-file-check/master/magento_appsec_file_check.php

chỉnh sửa đường dẫn đến bản cài đặt Magento của bạn

$_magentoPath='/home/www/magento/';

chạy

php magento_appsec_file_check.php

Các tập tin bị ảnh hưởng sẽ được hiển thị:

*** Magento security file check ***
[1] APPSEC-1034, addressing bypassing custom admin URL
2 effected files :
<use>admin</use> found in  app/code/community/Itabs/Debit/etc/config.xml
<use>admin</use> found in  app/code/core/Mage/Adminhtml/etc/config.xml


[2] APPSEC-1063, addressing possible SQL injection
2 effected files :
collection->addFieldToFilter(' found in  app/code/community/Itabs/Debit/Model/Export/Abstract.php
collection->addFieldToFilter(' found in  app/code/community/Itabs/Debit/controllers/Adminhtml/OrderController.php
collection->addFieldToFilter(' not found.
collection->addFieldToFilter('\` not found.
collection->addFieldToFilter('\` not found.


[3] APPSEC-1057, template processing method allows access to private information
{{config path= not found.
{{block type= not found.


***********************************

Tập lệnh sử dụng grep để tìm kiếm các tệp Magento cho các lần xuất hiện của mã có thể phá vỡ tính tương thích ngược với các tùy chỉnh hoặc tiện ích mở rộng khi áp dụng SUPEE-6788.

Đã có một danh sách lớn có sẵn với tất cả các tiện ích mở rộng sẽ phá vỡ với SUPEE-6788

Thêm thông tin tại đây: https://docs.google.com/s Lansheet / d / 1LHJL6D6xm3vD349DJsDF88FBI_6PZvx_u3FioC_1-rg/edit#gid=0

Danh sách các biến được phép, có thể được xử lý thông qua bộ lọc nội dung, lớn hơn hiển thị trong PDF:

+ trans_email/ident_support/name
+ trans_email/ident_support/email
web/unsecure/base_url
web/secure/base_url
trans_email/ident_general/name
+ trans_email/ident_general/email
trans_email/ident_sales/name
trans_email/ident_sales/email
trans_email/ident_custom1/name
trans_email/ident_custom1/email
trans_email/ident_custom2/name
trans_email/ident_custom2/email
general/store_information/name
general/store_information/phone
general/store_information/address

(Tôi đã thêm một +trước các biến không được mô tả trong PDF)

Các khối được phép có thể được xử lý thông qua bộ lọc nội dung là:

core/template
catalog/product_new