Patch keamanan Magento SUPEE-6482, Apa yang ditambal?

Hari ini 04.08.2015 ada patch keamanan baru yang dirilis, beberapa rekan dan saya sedang memeriksa patch, dan selalu menyenangkan untuk berdiskusi tentang apa yang berubah, apakah ada yang tahu apa saja kemungkinan serangan yang dapat memengaruhi dan toko yang belum dikirim? Apa hal terburuk yang bisa terjadi?

Pembaruan: Saya hanya ingin menambahkan magento email yang dikirim hari ini untuk menyelesaikan posting.

Patch keamanan aktual ( SUPEE-6482 ) hanya memengaruhi dua file berikut dan merupakan patch API.

app/code/core/Mage/Api/Model/Server/Adapter/Soap.php
app/code/core/Mage/Catalog/Model/Product/Api/V2.php

Instalasi lengkap 1.9.2.1 adalah masalah yang berbeda sama sekali. Saya akan membedakan kode sumber antara 1.9.2.0 dan 1.9.2.1 untuk mencari tahu dua item lainnya yang ditambal.

Catatan rilis adalah untuk penginstal lengkap, Anda harus memeriksa tambalan untuk melihat apakah itu benar-benar mencakup semua item yang dicatat dalam catatan rilis.

Implikasi menjalankan server yang belum ditambal:

1. Script Lintas Situs Menggunakan Header Tidak Divalidasi => Keracunan Cache
2. Penyertaan File yang Diisi Otomatis dalam Magento SOAP API => Kode otomatis diisoload
3. XSS dalam Pencarian Pendaftaran Hadiah => Pencurian cookie dan peniruan pengguna
4. Kerentanan SSRF dalam File WSDL => Info server internal bocor dan inklusi file jarak jauh

CATATAN: File yang ditambal dalam arsip instal lengkap yang tidak ditambal dengan tambalan, hmm?

diff -r magento-1920/app/code/core/Mage/Core/Controller/Request/Http.php magento-1921/app/code/core/Mage/Core/Controller/Request/Http.php
300a301
>         $host = $_SERVER['HTTP_HOST'];
302,303c303,304
<             $host = explode(':', $_SERVER['HTTP_HOST']);
<             return $host[0];
---
>             $hostParts = explode(':', $_SERVER['HTTP_HOST']);
>             $host =  $hostParts[0];
305c306,313
<         return $_SERVER['HTTP_HOST'];
---
> 
>         if (strpos($host, ',') !== false || strpos($host, ';') !== false) {
>             $response = new Zend_Controller_Response_Http();
>             $response->setHttpResponseCode(400)->sendHeaders();
>             exit();
>         }
> 
>         return $host;

diff -r magento-1920/app/design/frontend/base/default/template/page/js/cookie.phtml magento-1921/app/design/frontend/base/default/template/page/js/cookie.phtml
37,38c37,38
< Mage.Cookies.path     = '<?php echo $this->getPath()?>';
< Mage.Cookies.domain   = '<?php echo $this->getDomain()?>';
---
> Mage.Cookies.path     = '<?php echo Mage::helper('core')->jsQuoteEscape($this->getPath()) ?>';
> Mage.Cookies.domain   = '<?php echo Mage::helper('core')->jsQuoteEscape($this->getDomain()) ?>';

Saya melihat perubahan detail dan efek samping mana yang diharapkan.

Dalam versi untuk EE 1.13.1.0 file berikut berubah:

2015-08-05 07:14:25 UTC | SUPEE-6482_EE_1.13.1.0 | EE_1.13.1.0 | v2 | 7e38036f94f250514fcc11d066a43c9bdb6a3723 | Tue Jul 28 14:29:35 2015 +0300 | v1.13.1.0..HEAD
patching file app/code/core/Enterprise/PageCache/Model/Processor.php
patching file app/code/core/Mage/Api/Model/Server/Adapter/Soap.php
patching file app/code/core/Mage/Catalog/Model/Product/Api/V2.php
patching file app/code/core/Mage/Core/Controller/Request/Http.php
Hunk #1 succeeded at 294 (offset 7 lines).
patching file app/design/frontend/base/default/template/page/js/cookie.phtml
patching file app/design/frontend/enterprise/default/template/giftregistry/search/form.phtml

• Dalam Adapter/Soap.php, urlencoding ditambahkan ke data otentikasi. Ini seharusnya tidak memiliki efek samping negatif. Ini memastikan, bahwa hasilnya wsdlUrlvalid. Tanpa perubahan ini, orang dapat memengaruhi URL
• Product/Api/V2.php: Berikut adalah beberapa pemeriksaan jika data yang dikirimkan adalah objek. Ini seharusnya tidak terjadi dalam keadaan normal.
• di Request/Http.phpdan PageCache/Model/Processor.phpcek ditambahkan ketika mendapatkan HOST HTTP. Ini sepertinya untuk menutupi suntikan header yang disebutkan. Pemeriksaan hanya berlaku jika ada ;atau ,di host HTTP, jadi ini harus tidak kritis dalam sistem kehidupan nyata / tidak memiliki efek samping negatif.
• dalam cookie.phtmlpelarian ditambahkan. Jadi ini harus diteruskan porting ke tema Anda jika Anda menimpa file itu
• mirip untuk giftregistry/search/form.phtml

Singkatnya, saya akan mengatakan bahwa menerapkan tambalan tidak boleh memiliki efek samping negatif. Ingatlah untuk meneruskan porta perubahan ke .phtmlfile Anda .

Yang aneh adalah bahwa patch EE berisi modifikasi pada file-file berikut:

app/code/core/Mage/Core/Controller/Request/Http.php
app/design/frontend/base/default/template/page/js/cookie.phtml

Ketika CE tidak, untuk versi yang setara.

Saya kira ada sesuatu yang hilang pada SUPEE-6482versi CE itu, dan V2 dapat segera dirilis.

Patch rilis Magento SUPEE-6482 untuk perbaikan untuk masalah di bawah ini dalam edisi CE & EE

Untuk Edisi Komunitas Magento:

• Penyertaan File yang Diisi Otomatis dalam SOAP API Magento
• Kerentanan SSRF dalam File WSDL

Untuk Edisi Magento Enterprise

• Penyertaan File yang Diisi Otomatis dalam SOAP API Magento
• Kerentanan SSRF dalam File WSDL
• Script Lintas Situs Menggunakan Header Tidak Divalidasi

XSS dalam Pencarian Registri Hadiah

Melakukan perubahan di kelas

• Mage_Api_Model_Server_Adapter_Soap

• Mage_Catalog_Model_Product_Api_V2

Perubahan di Mage_Api_Model_Server_Adapter_Soap

             : $urlModel->getUrl('*/*/*');

         if ( $withAuth ) {
-            $phpAuthUser = $this->getController()->getRequest()->getServer('PHP_AUTH_USER', false);
-            $phpAuthPw = $this->getController()->getRequest()->getServer('PHP_AUTH_PW', false);
-            $scheme = $this->getController()->getRequest()->getScheme();
+            $phpAuthUser = rawurlencode($this->getController()->getRequest()->getServer('PHP_AUTH_USER', false));
+            $phpAuthPw = rawurlencode($this->getController()->getRequest()->getServer('PHP_AUTH_PW', false));
+            $scheme = rawurlencode($this->getController()->getRequest()->getScheme());

             if ($phpAuthUser && $phpAuthPw) {
                 $wsdlUrl = sprintf("%s://%s:%s@%s", $scheme, $phpAuthUser, $phpAuthPw,

ubah di Mage_Catalog_Model_Product_Api_V2

     public function create($type, $set, $sku, $productData, $store = null)
     {
-        if (!$type || !$set || !$sku) {
+        if (!$type || !$set || !$sku || !is_object($productData)) {
             $this->_fault('data_invalid');
         }

@@ -243,6 +243,9 @@ class Mage_Catalog_Model_Product_Api_V2 extends Mage_Catalog_Model_Product_Api
      */
     protected function _prepareDataForSave ($product, $productData)
     {
+        if (!is_object($productData)) {
+            $this->_fault('data_invalid');
+        }
         if (property_exists($productData, 'website_ids') && is_array($productData->website_ids)) {
             $product->setWebsiteIds($productData->website_ids);
         }

Lihat lebih lanjut di: http://www.amitbera.com/magento-security-patch-supee-6482/

Silakan baca dokumentasi Magento pada rilis ini, jawabannya ada di sana: http://merch.docs.magento.com/ce/user_guide/Magento_Community_Edition_User_Guide.html#magento/release-notes-ce-1.9.2.1.html

Patch ini, seperti patch terbaru lainnya, berisi banyak salinan, lisensi, dan perbaikan salah ketik. Ini juga memperkenalkan beberapa kesalahan ketik dari apa yang saya lihat.

Bagian tambalan keamanan yang sebenarnya muncul untuk mengatasi sanitasi input pengguna untuk 4 kemungkinan serangan berbeda.