Rilis Snuffleupagus 0.5.1, modul untuk memblokir kerentanan dalam aplikasi PHP

Setelah satu tahun pembangunan diterbitkan pelepasan proyek Snuffleupagus 0.5.1, yang menyediakan modul untuk juru bahasa PHP7 untuk meningkatkan keamanan lingkungan dan memblokir kesalahan umum yang menyebabkan kerentanan dalam menjalankan aplikasi PHP. Modul ini juga memungkinkan Anda membuat patch virtual untuk menghilangkan masalah tertentu tanpa mengubah kode sumber aplikasi yang rentan, yang nyaman untuk digunakan dalam sistem hosting massal di mana tidak mungkin untuk selalu memperbarui semua aplikasi pengguna. Biaya overhead modul diperkirakan minimal. Modul ditulis dalam C, terhubung dalam bentuk perpustakaan bersama (“extension=snuffleupagus.so” di php.ini) dan didistribusikan oleh berlisensi di bawah LGPL 3.0.

Snuffleupagus menyediakan sistem aturan yang memungkinkan Anda menggunakan templat standar untuk meningkatkan keamanan, atau membuat aturan Anda sendiri untuk mengontrol data input dan parameter fungsi. Misalnya, aturan “sp.disable_function.function(“system”).param(“command”).value_r(“[$|;&`\\n]”).drop();” memungkinkan Anda membatasi penggunaan karakter khusus dalam argumen fungsi system() tanpa mengubah aplikasi. Metode bawaan disediakan untuk memblokir kelas kerentanan seperti masalah, terkait dengan serialisasi data, tidak aman penggunaan fungsi PHP mail(), kebocoran konten Cookie selama serangan XSS, masalah karena memuat file dengan kode yang dapat dieksekusi (misalnya, dalam format far), pembuatan bilangan acak berkualitas buruk dan pengganti konstruksi XML yang salah.

Mode peningkatan keamanan PHP yang disediakan oleh Snuffleupagus:

• Secara otomatis mengaktifkan tanda "aman" dan "situs yang sama" (perlindungan CSRF) untuk Cookie, enkripsi Kue kering;
• Seperangkat aturan bawaan untuk mengidentifikasi jejak serangan dan penyusupan aplikasi;
• Aktivasi global paksa dari "ketat" (misalnya, memblokir upaya untuk menentukan string ketika mengharapkan nilai integer sebagai argumen) dan perlindungan terhadapnya manipulasi tipe;
• Pemblokiran bawaan pembungkus protokol (misalnya, melarang "phar://") dengan memasukkan daftar putihnya secara eksplisit;
• Larangan mengeksekusi file yang dapat ditulisi;
• Daftar hitam putih untuk evaluasi;
• Diperlukan untuk mengaktifkan pemeriksaan sertifikat TLS saat menggunakan
  keriting;
• Menambahkan HMAC ke objek serial untuk memastikan bahwa deserialisasi mengambil data yang disimpan oleh aplikasi asli;
• Minta mode pencatatan;
• Memblokir pemuatan file eksternal di libxml melalui tautan dalam dokumen XML;
• Kemampuan untuk menghubungkan penangan eksternal (upload_validation) untuk memeriksa dan memindai file yang diunggah;

antara perubahan dalam rilis baru: Peningkatan dukungan untuk PHP 7.4 dan penerapan kompatibilitas dengan cabang PHP 8 yang sedang dikembangkan. Menambahkan kemampuan untuk mencatat peristiwa melalui syslog (direktif sp.log_media diusulkan untuk dimasukkan, yang dapat mengambil nilai php atau syslog). Kumpulan aturan default telah diperbarui untuk menyertakan aturan baru untuk kerentanan yang baru diidentifikasi dan teknik serangan terhadap aplikasi web. Peningkatan dukungan untuk macOS dan perluasan penggunaan platform integrasi berkelanjutan berdasarkan GitLab.

Sumber: opennet.ru