Издание Snuffleupagus 0.5.1, модул за блокиране на уязвимости в PHP приложения

След година разработка беше публикуван издание на проекта Snuffleupagus 0.5.1, предоставящ модул към интерпретатора PHP7 за повишаване на сигурността на средата и блокиране на типични грешки, водещи до уязвимости в изпълняваните PHP приложения. Модулът също така позволява създаването на виртуални патчи за отстраняване на конкретни проблеми без промяна на оригиналните кодове на уязвимото приложение, което е удобно за приложения в системи с масов хостинг, където не е възможно поддържането на всички потребителски приложения актуални. Накладните разходи за работа с модула са оценени като минимални. Модулът е написан на C, свързва се под формата на споделена библиотека ("extension=snuffleupagus.so" в php.ini) и разпространява е с лицензия LGPL 3.0.

Snuffleupagus предоставя система от правила, позволяваща използването както на типови шаблони за повишаване на защитата, така и създаването на собствени правила за контрол на входните данни и параметрите на функциите. Например, правилото "sp.disable_function.function(\"system\").param(\"command\").value_r(\"[$|;&`\\n]\").drop();" позволява, без да променя приложенията, да се ограничи използването на специални символи в аргументите на функцията system(). Предоставят се вградени методи за блокиране на класове уязвимости, като проблеми, свързани с сериализацията на данни, несигурното използване на PHP функцията mail(), изтичане на съдържанието на бисквитки при провеждане на XSS атаки, проблеми, произтичащи от качването на файлове с изпълняем код (например, в формат phar), нискокачествена генерация на случайни числа и подмяна на некоректни конструкции XML.

Предоставените в Snuffleupagus режими за повишаване на защитата на PHP:

• Автоматично включване на флагове "secure" и "samesite" (защита от CSRF) за бисквитки, шифроване на бисквитки;
• Вграден набор от правила за откриване на следи от извършени атаки и компрометирани приложения;
• Принудително глобално включване на режим "strict" (например, блокира опити за указване на низ, когато се очаква целочислено значение като аргумент) и защита от манипулация с типове;
• Блокиране по подразбиране на обвивки за протоколи (например, забрана на "phar://") с тяхното явно разрешаване в бял списък;
• Забрана за изпълнение на файлове, които са достъпни за запис;
• Черни и бели списъци за eval;
• Задължително включете проверка на TLS сертификати при използване
  curl;
• Добавяне на HMAC към сериализираните обекти, за да се гарантира, че при десериализацията се получават данни, запазени от оригиналното приложение;
• Режим за записване на заявките;
• Блокиране на зареждането на външни файлове в libxml по линкове в XML документи;
• Възможност за свързване на външни обработващи функции (upload_validation) за проверка и сканиране на качените файлове;

Между промените в новото издание: Подобрена поддръжка за PHP 7.4 и реализирана съвместимост с разработвания клон на PHP 8. Добавена е възможност за записване на събития чрез syslog (за активиране е предложена директива sp.log_media, която може да приема стойности php или syslog). Обновен е предлаганият по подразбиране набор от правила, в който са добавени нови правила за неотдавна установени уязвимости и техники на атаки към уеб приложения. Подобрен е поддръжката на macOS и разширено приложение на платформата за постоянно интегриране на базата на GitLab.

Източник: opennet.ru