Bản vá mới supee-6788 cách áp dụng bản vá

Sau nhiều tuần chờ đợi bản vá ngày hôm nay (27.10.2015), nó đã được phát hành: SUPEE-6788

Rất nhiều thứ đã được vá và cũng được khuyến khích để xem xét các mô-đun đã cài đặt cho các lỗ hổng có thể xảy ra.

Tôi mở bài đăng này để có được một số hiểu biết về cách áp dụng các bản vá. Các bước để áp dụng các bản vá là gì? Theo hiểu biết của tôi đây là các bước:

1. Sửa các mô-đun với chức năng quản trị viên không thuộc URL quản trị viên
2. Sửa các mô-đun sử dụng câu lệnh SQL làm tên trường hoặc trường thoát
3. Khối danh sách trắng hoặc chỉ thị sử dụng các biến như {{config path=”web/unsecure/base_url”}}và{{bloc type=rss/order_new}}
4. Giải quyết khai thác tiềm năng với Loại tệp tùy chọn tùy chỉnh (không biết làm thế nào để làm điều này)
5. Áp dụng các bản vá

Đây có phải là thủ tục chính xác?

Nói chung, bạn có thể áp dụng các bản vá như tất cả những người trước đó. Hãy xem tài liệu chính thức và kiểm tra bài SE này . Nhưng có, có một số điểm bổ sung bạn nên kiểm tra khi áp dụng bản vá này. Byte / Hypernode có một bài viết hay về nó.

1. Kiểm tra xem chủ đề của bạn có một tùy chỉnh template/customer/form/register.phtmlhoặc tùy chỉnh template/persistent/customer/form/register.phtml. Nếu đây là trường hợp, hãy chắc chắn rằng nó bao gồm a form_key.
2. Kiểm tra xem chủ đề của bạn có một tùy chỉnh layout/customer.xml. Nếu đây là trường hợp, đảm bảo áp dụng các thay đổi cần thiết từ bản vá ( customer_account_resetpasswordđã được thay đổi thành customer_account_changeforgotten).
3. Bạn có sử dụng các biến không chuẩn trong các trang CMS, khối tĩnh hoặc mẫu email không? Sau đó hãy chắc chắn rằng bạn đưa họ vào danh sách trắng. Xem câu hỏi SE này để tìm hiểu làm thế nào để liệt kê các biến / khối danh sách trắng.
4. Bạn có chạy cron.phpqua HTTP không? Hãy chắc chắn rằng bạn sử dụng tốt hơn cron.sh. Nếu điều này là không thể, ít nhất hãy đảm bảo rằng bạn gọi cron.php thông qua CLI PHP. Nếu vì một lý do nào đó, bạn không thể định cấu hình một cronjob thực và cần chạy nó qua HTTP, hãy xem câu hỏi SE này
5. Đảm bảo rằng tất cả các tiện ích mở rộng của bạn sử dụng định tuyến quản trị viên "mới". Bạn có thể sử dụng plugin n98-magerun này để kiểm tra. Bạn cũng có thể sử dụng tập lệnh CLI này . Bạn cũng có thể xem câu hỏi SE liên quan này .
   6. Khi tất cả các tiện ích mở rộng của bạn sử dụng định tuyến quản trị viên phù hợp, hãy đảm bảo tắt "Bật chế độ tương thích định tuyến của quản trị viên" trong Hệ thống - Cấu hình - Quản trị viên - Bảo mật.
6. Nếu bạn sử dụng M2ePro, hãy cập nhật lên phiên bản mới nhất vì các phiên bản cũ không hoạt động với bản vá mới.

Khi cập nhật, hãy chắc chắn rằng bạn xóa tệp dev/tests/functional/.htaccess. Nó không còn xuất hiện nữa trong Magento 1.9.2.2. Giữ nó có nghĩa là bạn vẫn dễ bị tổn thương.

Trong mọi trường hợp, hãy kiểm tra trang của bạn với MageReport sau khi cập nhật để xem mọi thứ có ổn không.

Ngoài ra còn có một bài viết blog kỹ thuật của Piotr , trong đó mô tả những thay đổi quan trọng.

Có một tệp kiểm tra giúp bạn xác định các vấn đề: https://github.com/gaiterjones/magento-appsec-file-check

Tôi đã tạo một kịch bản CLI từ nó. https://github.com/Schrank/magento-appsec-file-check

Đối với Nginx, đảm bảo bạn chặn quyền truy cập vào cron.php và thư mục dev. Chúng tôi sử dụng khối này:

location ~ ^/(app|includes|media/downloadable|pkginfo|report/config.xml|var|magmi|cron.php|dev)/? { deny all; }

Tôi mới áp dụng bản vá trên 1.10.1 EE của mình và điều này gây ra tác dụng phụ trên màn hình gốc vì lõi không tuân thủ APPSEC-1063:

Thí dụ:

Trong app/code/core/Mage/Customer/Model/Entity/Attribute/Collection.php

Bạn có thể tìm thấy 2 addFieldToFiltercuộc gọi không tuân thủ APPSEC-1063.

Điều này đang phá vỡ lưới của Khách hàng> Thuộc tính, do đó bạn phải vá lỗi, sử dụng thủ thuật mà họ đề xuất trong pdf "SUPEE-6788-Technical% 20Details% 20.pdf" trong phần APPSEC-1063

Thay đổi một số

    $this->addFieldToFilter($field, 0);

(trong đó trường $ chứa các câu lệnh sql phức tạp (CASE .. KHI THÌ ...)

vào

    $resultCondition = $this->_getConditionSql($field, 0);
    $this->_select->where($resultCondition);

Cả supee-6788-hộp công cụ và gaiterjones của rhoerr đều không phát hiện ra loại vấn đề này, tôi đã kiểm tra tất cả các vấn đề khác -> addFieldToFilter ($ và dường như không gây ra sự cố nào.

Các tệp lõi 1,10 bị ảnh hưởng khác: (được tìm thấy bởi hộp công cụ supe-6788 của rhoerr)

app/code/core/Mage/Bundle/Model/Mysql4/Option/Collection.php 

Có thể có nhiều hơn.