セキュリティパッチSUPEE-6788の影響を受けるモジュールを確認する方法

71

2015年10月27日に、MagentoはセキュリティパッチSUPEE-6788をリリースしました。技術的な詳細によると、修正された4つのAPPSECには、ローカルモジュールとコミュニティモジュールでのいくつかの修正が必要です。

  • APPSEC-1034、カスタム管理URLのバイパスのアドレス指定（デフォルトでは無効）
  • APPSEC-1063、可能なSQLインジェクションに対処
  • APPSEC-1057、テンプレート処理方法により、個人情報にアクセスできます
  • APPSEC-1079、カスタムオプションファイルタイプで潜在的なエクスプロイトに対処

このセキュリティパッチの影響を受けるモジュールを確認する方法を知りたいと思いました。

私は次の部分的な解決策を思いつきました：

  • APPSEC-1034：<use>admin</use>すべてのローカルおよびコミュニティモジュールのconfig.xmlで検索します。これにより、この問題の影響を受けるすべてのモジュールがリストされるはずです。
  • APPSEC-1063：を検索addFieldToFilter('(し、addFieldToFilter('`地元やコミュニティのモジュールのすべてのPHPファイルに。変数も使用できるため、これは不完全です。
  • APPSEC-1057：を検索{{config path=し、{{block type=地元やコミュニティのモジュールのすべてのPHPファイルで、そしてホワイトリストからすべての要素をフィルタリングします。ただし、管理者によって追加されたテンプレート変数が含まれていないため、これは不完全です。
  • APPSEC-1079：わかりません。

Peter Jaap BlaakmeerによってコンパイルされたAPPSEC-1034およびAPPSEC-1063に対して脆弱な拡張機能のリストもあります。

extensions  security  patches  routing  supee-6788 
— Aad Mathijssen
ソース
管理URLの問題のためにFreeLunchLabs ConstantContact：私は@PeterJaapBlaakmeerへの連絡方法は考えているが、私は、リストに追加ニーズの拡張子を持っている
— デビッド・ウィルキンス
6
これらのソリューションのいくつかを思いついたのは誰ですか？突然、ブロックタイプと変数ホワイトリストが作成されますか？Magentoのアップグレードは常に苦痛でしたが、Magentoをさらに苦労させてくれたのは良い仕事です。
— アゴップ
6
へえ、Magento、贈り続ける贈り物。1.9.2.1互換性のために、すべてのモジュールのアップグレードを完了しました。ベットモジュールの開発者は、喜びのためにジャンプしたり、丘を叫んでいます。
— Fiasco Labs
3
この時点でパッチは来週延期されます。セキュリティパッチのリリースを来週初めまで延期し、管理ルーティングの変更がデフォルトでオフになるようにパッチを変更します。つまり、パッチには修正が含まれますが、インストール時に無効になります。新しいリリース日とパッチの変更により、コードを更新する時間が追加され、商人は拡張機能とカスタマイズが更新されて機能するようになったら、パッチのこの部分を柔軟に有効にすることができます。
— FireBear
1
— Mukesh

回答:

55

SUPEE-6788がリリースされ、管理ルーティングの変更がデフォルトでオフになりました。つまり、パッチには修正が含まれますが、インストール時に無効になります。これにより、コードを更新する時間が追加され、商人は拡張機能とカスタマイズが更新されて機能するようになったら、パッチのこの部分を柔軟に有効にすることができます。

パスのインストール後に拡張機能の管理ルーティング機能を有効にするには、[管理]-> [詳細]-> [管理]-> [セキュリティ]に移動します。

Magento CE 1.4-1.6パッチは遅れており、約1週間で利用可能になるはずです！

SUPEE-6788リソースリスト

— ファイヤーベア
ソース
「修正しない」モジュールについては、6788で動作するようにこれらのモジュールを手動でパッチできるように、一般的に変更する必要があるものを文書化できますか？たとえば、「すべてのaddFieldToFilter呼び出しからXを削除します。」
— タイラーV。
1
パッチがリリースされました。回答を更新してください。
— 7ochem
@FireBear過去に何度もMagentoパッチを適用しました。しかし、SUPEE-6788には疑問があります。他のパッチと同じように適用する必要がありますか。後でMagento管理パネルで管理ルーティング機能を有効にしたり、インストール時のみ注意する必要があります。提案してください。
— ムケシュ
2
@Mukはい、他のパッチとしてインストールできますが、リストからいくつかの拡張機能を使用する場合、壊れた拡張機能に注意する必要があります-手動で修正するか、有効にするまで開発者からの更新を待つ必要があります-管理ルーティング機能拡張機能の場合
— -FireBear
@FireBearあなたは上のあなたのフィードバックを提供することができcommunity.magento.com/t5/Version-Upgrades/... （カスタムモジュールで前と後）
— ムケシュ
21

競合の検出に関する他のコメントに沿って、ParadoxLabsでは、APPSEC-1034（管理コントローラー）およびAPPSEC-1057（ホワイトリスト）の影響を受けるすべてのものを追跡するスクリプトを作成しました。また、不正なコントローラーの修正も試みます。これは、かなり正確で侵襲的な変更であるためです。

APPSEC-1063（SQLインジェクション）またはAPPSEC-1079（カスタムオプション）はカバーしていませんが、可能であればすばらしいでしょう。どんな精度でそれらを検出するかわからない。私たちは貢献に対してオープンです。

https://github.com/rhoerr/supee-6788-toolbox

— ライアン・ホール
ソース
3
これは本当に便利で良い仕事に見えます！
— paj
fixWhitelistsはブロックをホワイトリストに追加しますが、変数に対して同じことをしないようです-確認してもらえますか？
— ジゴジャック
1
@zigojacko両方をカバーしています。
— ライアンホール
うん、やってみてこれを理解した。素晴らしい仕事、ParadoxLabsによるスーパージョブ:)
— ジゴジャック
ParadoxLabsを尊重してください。そのツールは大量の作業を節約しています。
— ダークカウボーイ
5

このphpスクリプトは、提案されたSUPEE-6788パッチの影響を受けるMagentoコードを識別するのに役立つ場合があります。

これは、このパッチの絶対確実なセキュリティチェックではありませんが、影響を受けるモジュールとコードをインストールからすばやくスキャンするのに役立つ場合があります。

スクリプトをインストールします 

wget https://raw.githubusercontent.com/gaiterjones/magento-appsec-file-check/master/magento_appsec_file_check.php

Magentoインストールへのパスを編集します

$_magentoPath='/home/www/magento/';

走る 

php magento_appsec_file_check.php

影響を受けるファイルが表示されます：

*** Magento security file check ***
[1] APPSEC-1034, addressing bypassing custom admin URL
2 effected files :
<use>admin</use> found in  app/code/community/Itabs/Debit/etc/config.xml
<use>admin</use> found in  app/code/core/Mage/Adminhtml/etc/config.xml


[2] APPSEC-1063, addressing possible SQL injection
2 effected files :
collection->addFieldToFilter(' found in  app/code/community/Itabs/Debit/Model/Export/Abstract.php
collection->addFieldToFilter(' found in  app/code/community/Itabs/Debit/controllers/Adminhtml/OrderController.php
collection->addFieldToFilter(' not found.
collection->addFieldToFilter('\` not found.
collection->addFieldToFilter('\` not found.


[3] APPSEC-1057, template processing method allows access to private information
{{config path= not found.
{{block type= not found.


***********************************

スクリプトはgrepを使用して、SUPEE-6788が適用された場合にカスタマイズまたは拡張機能との下位互換性を壊す可能性のあるコードの出現についてMagentoファイルを検索します。

— パジ
ソース
4

SUPEE-6788で壊れるすべての拡張機能を含む大きなリストがすでに利用可能です

詳細はこちら：https : //docs.google.com/spreadsheets/d/1LHJL6D6xm3vD349DJsDF88FBI_6PZvx_u3FioC_1-rg/edit#gid=0

— ゲイリー・オールダーマン
ソース
このリストがどのように収集されたか知りたいです。
— mam08ixo
3
クラウドソーシングされました。元のソースは次のとおりです。docs.google.com/spreadsheets/d/...
— ハーマンSlatman
最新に保たれており、代わりにソースを上記のページとリンクからリストを削除してください：docs.google.com/spreadsheets/d/...
— アードMathijssen
1
更新されたバージョンについて連絡する連絡先はありますか？すでに更新された少なくとも2〜3個のモジュールが表示されます。
— versedi
-1

コンテンツフィルターを介して処理できる許可された変数のリストは、PDFに表示されたものよりも大きくなります。

+ trans_email/ident_support/name
+ trans_email/ident_support/email
web/unsecure/base_url
web/secure/base_url
trans_email/ident_general/name
+ trans_email/ident_general/email
trans_email/ident_sales/name
trans_email/ident_sales/email
trans_email/ident_custom1/name
trans_email/ident_custom1/email
trans_email/ident_custom2/name
trans_email/ident_custom2/email
general/store_information/name
general/store_information/phone
general/store_information/address

（+PDFに記載されていない変数の前に追加しました）

コンテンツフィルターを介して処理できるブロックは次のとおりです。

core/template
catalog/product_new
— ダニエル・ファン・デル・ガルド
ソース
弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.