Проект Snuffleupagus развива PHP модул за блокиране на уязвимости

В рамките на проекта Snuffleupagus развива модул за свързване с интерпретатора PHP7, предназначен за повишаване на сигурността на средата и блокиране на типични грешки, довеждащи до наличие на уязвимости в изпълняваните PHP приложения. Модулът също така позволява създаването на виртуални пачове за отстраняване на конкретни проблеми без промяна на изходния код на уязвимото приложение, което е удобно за прилагане в системи за масов хостинг, където е невъзможно поддържането на всички потребителски приложения актуални. Модулът е написан на езика C, свързва се под формата на споделена библиотека ("extension=snuffleupagus.so" в php.ini) и разпространява е с лицензия LGPL 3.0.

Snuffleupagus предоставя система от правила, позволяваща използването както на типични шаблони за повишаване на защитата, така и създаването на собствени правила за контрол на входящите данни и параметрите на функциите. Например, правилото "sp.disable_function.function('system').param('command').value_r('[$|;&`\\n]').drop();" позволява, без да променя приложенията, да ограничи използването на специални символи в аргументите на функцията system(). По аналогичен начин могат да се създават виртуални патчи за блокиране на известни уязвимости.

Според проведените тестове от разработчиците, Snuffleupagus почти не снижава производителността. За осигуряване на собствената сигурност (потенциални уязвимости в защитния слой могат да служат като допълнителен вектор за атаки) в проекта се прилага дълбочинно тестване на всяко комит в различни дистрибуции, използват се системи за статичен анализ, кодът се оформя и документира за улесняване на провеждането на одит.

Предоставят се вградени методи за блокиране на такива класове уязвимости, като проблеми, свързани с сериализацията на данни, несигурното използване на PHP функцията mail(), изтичане на съдържанието на бисквитки при провеждане на XSS атаки, проблеми, произтичащи от качването на файлове с изпълняем код (например, в формат phar), нискокачествена генерация на случайни числа и подмяна на некоректни конструкции XML.

От режимите за повишаване на защитата PHP поддържа:

• Автоматично включване на флагове "secure" и "samesite" (защита от CSRF) за бисквитки, шифроване на бисквитки;
• Вграден набор от правила за откриване на следи от извършени атаки и компрометирани приложения;
• Принудително глобално включване на режим "strict" (например, блокира опити за указване на низ, когато се очаква целочислено значение като аргумент) и защита от манипулация с типове;
• Блокиране по подразбиране на обвивки за протоколи (например, забрана на "phar://") с тяхното явно разрешаване в бял списък;
• Забрана за изпълнение на файлове, които са достъпни за запис;
• Черни и бели списъци за eval;
• Задължително включете проверка на TLS сертификати при използване
  curl;
• Добавяне на HMAC към сериализираните обекти, за да се гарантира, че при десериализацията се получават данни, запазени от оригиналното приложение;
• Режим за записване на заявките;
• Блокиране на зареждането на външни файлове в libxml по линкове в XML документи;
• Възможност за свързване на външни обработващи функции (upload_validation) за проверка и сканиране на качените файлове;

Проектът е създаден и се използва за защита на потребителите в инфраструктурата на един от големите френски оператори за хостинг. Трябва да се отбележи, че просто свързването на Snuffleupagus би позволило да се защитите от много опасни уязвимости, открити тази година в Drupal, WordPress и phpBB. Уязвимости в Magento и Horde биха могли да бъдат блокирани чрез активиране на режима
"sp.readonly_exec.enable()".

Източник: opennet.ru