Cara memeriksa modul mana yang dipengaruhi oleh patch keamanan SUPEE-6788

Pada 27 Oktober 2015, Magento telah merilis patch keamanan SUPEE-6788. Menurut perincian teknis , 4 APPSEC yang telah diperbaiki memerlukan pengerjaan ulang dalam modul lokal dan komunitas:

• APPSEC-1034, mengatasi melewati URL admin khusus (dinonaktifkan secara default)
• APPSEC-1063, mengatasi kemungkinan injeksi SQL
• APPSEC-1057, metode pemrosesan template memungkinkan akses ke informasi pribadi
• APPSEC-1079, menangani potensi eksploitasi dengan jenis file opsi kustom

Saya bertanya-tanya bagaimana cara memeriksa modul mana yang dipengaruhi oleh patch keamanan ini.

Saya datang dengan solusi parsial berikut:

• APPSEC-1034: cari <use>admin</use>di config.xml dari semua modul lokal dan komunitas. Saya pikir ini harus mencantumkan semua modul yang terpengaruh oleh masalah ini.
• APPSEC-1063: mencari addFieldToFilter('(dan addFieldToFilter('`di semua file PHP modul lokal dan komunitas. Ini tidak lengkap, karena variabel juga dapat digunakan.
• APPSEC-1057: mencari {{config path=dan {{block type=dalam semua file PHP modul lokal dan komunitas, dan menyaring semua elemen dari daftar putih. Ini tidak lengkap, karena tidak mengandung variabel template yang ditambahkan oleh admin.
• APPSEC-1079: tidak tahu.

Ada juga daftar ekstensi yang rentan untuk APPSEC-1034 dan APPSEC-1063 yang disusun oleh Peter Jaap Blaakmeer

SUPEE-6788 dirilis dan perubahan perutean admin dimatikan secara default. Ini berarti bahwa tambalan menyertakan perbaikan, tetapi itu akan dinonaktifkan ketika diinstal. Ini akan memberi Anda waktu tambahan untuk membuat pembaruan pada kode Anda dan akan memberikan fleksibilitas kepada pedagang untuk mengaktifkan bagian tambalan ini setelah ekstensi dan penyesuaiannya diperbarui untuk bekerja dengannya.

Untuk mengaktifkan kemampuan perutean admin untuk ekstensi setelah menginstal jalur, buka Admin -> Lanjutan -> Admin -> Keamanan.

Magento CE 1.4-1.6 tambalan ditunda dan akan tersedia dalam waktu sekitar satu minggu!

SUPEE-6788 Daftar sumber daya

• Detail resmi & unduh SUPEE-6788 - http://magento.com/security/patches/supee-6788 & https://www.magentocommerce.com/download

• Cara menerapkan diskusi SUPEE-6788 dengan tips bermanfaat - https://magento.meta.stackexchange.com/a/734/2282

• Instal SUPEE-6788 tanpa SSH - https://magentary.com/kb/install-supee-6788-without-ssh/

• SUPEE-6788 untuk CE 1.7.0.1 - 1.9.2.1 di GitHub - https://github.com/brentwpeterson/magento-patches/tree/master/current-patches/CE

• SUPEE-6788 untuk EE 1.12.x - 1.14.x di GitHub - https://github.com/brentwpeterson/magento-patches/tree/master/current-patches/EE

• SUPEE-6788 dan Kompatibilitas Mundur - https://info2.magento.com/rs/318-XBX-392/images/SUPEE-6788-Technical%20Details.pdf

• Digerakkan oleh komunitas, daftar Ekstensi yang akan diputuskan dengan SUPEE-6788 / Magento 1.9.2.2 / EE 1.14.2.2 - https://docs.google.com/spreadsheets/d/1LHJL6D6xm3vD349DJsDF88FBI_6PZvx_u3FioC_1-rg=html?hl=id gid = 0

• Perintah Magerun yang bermanfaat https://github.com/peterjaap/magerun-addons

  • n98-magerun dev: template-var - Temukan vars / blok yang tidak masuk daftar putih agar kompatibel dengan SUPEE-6788 dan Magento 1.9.2.2
  • n98-magerun.phar dev: old-admin-routing - Temukan ekstensi yang menggunakan perutean admin gaya lama (yang tidak kompatibel dengan SUPEE-6788 dan Magento 1.9.2.2)

• Periksa apakah toko ditambal / terpengaruh - https://www.magereport.com/

• Beberapa blok ubahsuaian di halaman depan telah menghilang setelah pemasangan patch - APPSEC-1057 Cara menambahkan variabel atau blok ke tabel daftar putih & https://www.pinpointdesigns.co.uk/blog/magento-ce-patch-supee -6788-custom-blok-masalah /

• Magento SUPEE-6788 Developer Toolbox - temukan dan secara otomatis selesaikan masalah besar dari tambalan https://github.com/rhoerr/supee-6788-toolbox

• MageDownload CLI - Alat PHP untuk mengotomatiskan rilis Magento dan men - download unduhan - https://github.com/steverobbins/magedownload-cli

• Cara memasukkan whitelist variabel template dan blok untuk SUPEE-6788 - https://gist.github.com/avoelkl/f99e95c8caad700aee9

• Periksa file Magento untuk mengetahui kode yang terkena dampak appsec - https://github.com/Schrank/magento-appsec-file-check

• Masalah umum dengan SUPEE 6788 Instalasi patch Magento - http://www.atwix.com/magento/security-patch-supee-6788-installation-issues/

• Peningkatan kinerja untuk Magento Patch SUPEE-6788 - https://github.com/EcomDev/SUPEE6788-PerformanceFix , https://gist.github.com/DimaSoroka/a3e567ddc39bd6a39c4e , Detail - http://www.magecore.com/blog / news / performance-issues-magento-security-patch-supee-6788

Sejalan dengan komentar lain tentang mendeteksi konflik, kami di ParadoxLabs telah membuat skrip untuk melacak segala sesuatu yang dipengaruhi oleh APPSEC-1034 (pengontrol admin) dan APPSEC-1057 (daftar putih). Ini juga akan berusaha untuk memperbaiki pengendali buruk, karena itu perubahan yang cukup tepat dan invasif untuk dilakukan.

Itu tidak mencakup APPSEC-1063 (injeksi SQL) atau APPSEC-1079 (opsi khusus), tetapi akan lebih bagus jika bisa. Tidak yakin bagaimana mendeteksi orang-orang dengan ketepatan apapun. Kami terbuka untuk kontribusi.

https://github.com/rhoerr/supee-6788-toolbox

Script php ini mungkin berguna dalam mengidentifikasi kode Magento yang dipengaruhi oleh patch SUPEE-6788 yang diusulkan .

Ini sama sekali bukan pemeriksaan keamanan yang mudah untuk tambalan ini, tetapi mungkin berguna untuk dengan cepat memindai instalasi Anda untuk modul dan kode yang terpengaruh.

Instal skrip dengan

wget https://raw.githubusercontent.com/gaiterjones/magento-appsec-file-check/master/magento_appsec_file_check.php

edit path ke instalasi Magento Anda

$_magentoPath='/home/www/magento/';

Lari

php magento_appsec_file_check.php

File yang terpengaruh akan ditampilkan:

*** Magento security file check ***
[1] APPSEC-1034, addressing bypassing custom admin URL
2 effected files :
<use>admin</use> found in  app/code/community/Itabs/Debit/etc/config.xml
<use>admin</use> found in  app/code/core/Mage/Adminhtml/etc/config.xml


[2] APPSEC-1063, addressing possible SQL injection
2 effected files :
collection->addFieldToFilter(' found in  app/code/community/Itabs/Debit/Model/Export/Abstract.php
collection->addFieldToFilter(' found in  app/code/community/Itabs/Debit/controllers/Adminhtml/OrderController.php
collection->addFieldToFilter(' not found.
collection->addFieldToFilter('\` not found.
collection->addFieldToFilter('\` not found.


[3] APPSEC-1057, template processing method allows access to private information
{{config path= not found.
{{block type= not found.


***********************************

Script menggunakan grep untuk mencari file Magento untuk mencari kejadian kode yang dapat merusak kompatibilitas dengan kustomisasi atau ekstensi ketika SUPEE-6788 diterapkan.

Sudah ada daftar besar yang tersedia dengan semua ekstensi yang akan pecah dengan SUPEE-6788

Info lebih lanjut di sini: https://docs.google.com/spreadsheets/d/1LHJL6D6xm3vD349DJsDF88FBI_6PZvx_u3FioC_1-rg/edit#gid=0

Daftar variabel yang diizinkan, yang dapat diproses melalui filter konten, lebih besar daripada yang ditunjukkan dalam PDF:

+ trans_email/ident_support/name
+ trans_email/ident_support/email
web/unsecure/base_url
web/secure/base_url
trans_email/ident_general/name
+ trans_email/ident_general/email
trans_email/ident_sales/name
trans_email/ident_sales/email
trans_email/ident_custom1/name
trans_email/ident_custom1/email
trans_email/ident_custom2/name
trans_email/ident_custom2/email
general/store_information/name
general/store_information/phone
general/store_information/address

(Saya telah menambahkan +sebelum variabel yang tidak dijelaskan dalam PDF)

Blok yang dibolehkan yang dapat diproses melalui filter konten adalah:

core/template
catalog/product_new