Проектът Snuffleupagus развива PHP модул за блокиране на уязвимости

В рамките на проекта Snuffleupagus развива модул за свързване с интерпретатора PHP7, предназначен за повишаване на безопасността на средата и блокиране на обичайни грешки, които водят до уязвимости в изпълняваните PHP приложения. Модулът също така позволява създаването на виртуални пачове за решаване на конкретни проблеми без промяна на изходните текстове на уязвимото приложение, което е удобно за използване в системи за масово хостинг, където е невъзможно да се поддържат всички потребителски приложения актуални. Модулът е написан на езика Си, свързва се под формата на споделена библиотека ("extension=snuffleupagus.so" в php.ini) и се разпространява под лицензия LGPL 3.0.

Snuffleupagus предоставя система от правила, позволяваща използването както на обичайни шаблони за повишаване на защитата, така и за създаване на собствени правила за контрол на входящите данни и параметрите на функциите. Например, правилото "sp.disable_function.function(‘system’).param(‘command’).value_r(‘[$|;&`\n]’).drop();" позволява да се ограничи използването на специални символи в аргументите на функцията system() без да се променя приложението. По подобен начин могат да се създават виртуални пачове за блокиране на известни уязвимости.

Съдейки по направените тестове от разработчиците, Snuffleupagus почти не намалява производителността. За осигуряване на собствената безопасност (възможните уязвимости в защитната обвивка могат да служат като допълнителен вектор за атаки) в проекта се прилага дълбочинно тестване на всеки комит в различни дистрибуции, използват се системи за статичен анализ, кодът е оформен и документиран за улесняване на извършването на одити.

Предоставят се вградени методи за блокиране на класове уязвимости, като проблеми, свързани с сериализацията на данни, небезопасно използване на PHP функцията mail(), изтичане на съдържанието на Cookie по време на XSS атаки, проблеми във връзка с качването на файлове с изпълним код (например, във формат phar), некачествена генерация на случайни числа и подмяна на некоректни конструкции XML.

От режимите за повишаване на защитата PHP поддържа:

• Автоматично включване на флаговете "secure" и "samesite" (защита от CSRF) за Cookie, шифроване на Cookie;
• Вграден набор от правила за откриване на следи от извършени атаки и компрометиране на приложения;
• Принудително глобално включване на режима "strict» (например, блокира опитите за задаване на низ, когато се очаква цяло число като аргумент) и защита от манипулации с типове;
• Блокиране по подразбиране обвивки за протоколите (например, забрана «phar://») с явното им разрешение в бял списък;
• Забрана за изпълнение на файлове, които са достъпни за запис;
• Черни и бели списъци за eval;
• Задължително включване на проверка на сертификати TLS при използване на
  curl;
• Добавяне на HMAC към сериализирани обекти, за да се гарантира, че при десериализацията се получават данни, запазени от оригиналното приложение;
• Режим на запис на заявките;
• Блокиране на зареждането на външни файлове в libxml чрез линкове в XML документи;
• Възможност за свързване на външни обработвачи (upload_validation) за проверка и сканиране на качвани файлове;

Проектът е създаден и се използва за защита на потребителите в инфраструктурата на един от големите френски хостинг оператори. Отбелязва се, което показва, че просто свързване с Snuffleupagus би позволило защита от много опасни уязвимости, открити тази година в Drupal, WordPress и phpBB. Уязвимостите в Magento и Horde биха могли да бъдат блокирани с активиране на режима
«sp.readonly_exec.enable()».

Източник: opennet.ru