Издание Snuffleupagus 0.5.1, модул за блокиране на уязвимости в PHP приложения

След година разработка публикуван пуск на проекта Snuffleupagus 0.5.1, предоставящ модул на интерпретатора PHP7 за повишаване на сигурността на средата и блокиране на типични грешки, водещи до уязвимости в изпълняваните PHP-приложения. Модулът също така позволява създаването на виртуални пачове за решаване на конкретни проблеми без да се променят изходните текстове на уязвимото приложение, което е удобно за приложения в системи за масов хостинг, където е невъзможно да се поддържат всички потребителски приложения актуални. Разходите от работа на модула се оценяват като минимални. Модулът е написан на C, свързва се под формата на споделена библиотека ("extension=snuffleupagus.so" в php.ini) и се разпространява под лицензия LGPL 3.0.

Snuffleupagus предоставя система от правила, позволяваща използването както на типични шаблони за повишаване на защитата, така и създаването на собствени правила за контрол на входящите данни и параметрите на функциите. Например, правилото "sp.disable_function.function('system').param('command').value_r('[$|;&`\\n]').drop();" позволява, без да се променят приложенията, да се ограничи използването на специални символи в аргументите на функцията system(). Предоставят се вградени методи за блокиране на такива класове уязвимости, като проблеми, свързани с сериализацията на данни, небезопасно използване на PHP функцията mail(), изтичане на съдържанието на Cookie по време на XSS атаки, проблеми във връзка с качването на файлове с изпълним код (например, във формат phar), некачествена генерация на случайни числа и подмяна на некоректни конструкции XML.

Предоставените в Snuffleupagus режими за повишаване на защитата на PHP:

• Автоматично включване на флаговете "secure" и "samesite" (защита от CSRF) за Cookie, шифроване на Cookie;
• Вграден набор от правила за откриване на следи от извършени атаки и компрометиране на приложения;
• Принудително глобално включване на режима "strict» (например, блокира опитите за задаване на низ, когато се очаква цяло число като аргумент) и защита от манипулации с типове;
• Блокиране по подразбиране обвивки за протоколите (например, забрана «phar://») с явното им разрешение в бял списък;
• Забрана за изпълнение на файлове, които са достъпни за запис;
• Черни и бели списъци за eval;
• Задължително включване на проверка на сертификати TLS при използване на
  curl;
• Добавяне на HMAC към сериализирани обекти, за да се гарантира, че при десериализацията се получават данни, запазени от оригиналното приложение;
• Режим на запис на заявките;
• Блокиране на зареждането на външни файлове в libxml чрез линкове в XML документи;
• Възможност за свързване на външни обработвачи (upload_validation) за проверка и сканиране на качвани файлове;

Среда изменений в новото издание: Подобрена поддръжка за PHP 7.4 и реализирана съвместимост с разработваната версия на PHP 8. Добавена е възможност за регистриране на събития чрез syslog (за активиране е предложена директива sp.log_media, която може да приеме стойности php или syslog). Обновен е предложената по подразбиране група от правила, в която са добавени нови правила за идентифицирани напоследък уязвимости и техники за атаки на уеб-приложения. Подобрена е поддръжката за macOS и е разширено приложението на платформата за непрекъсната интеграция на базата на GitLab.

Източник: opennet.ru