Rilascio di Snuffleupagus 0.5.1, un modulo per il blocco delle vulnerabilità nelle applicazioni PHP.

Dopo un anno di sviluppo pubblicato il rilascio del progetto Snuffleupagus 0.5.1, предоставляющего модуль к интерпретатору PHP7 для повышения безопасности окружения и блокирования типовых ошибок, приводящих к появлению уязвимостей в выполняемых PHP-приложениях. Модуль также позволяет создавать patch virtuali для устранения конкретных проблем без изменения исходных текстов уязвимого приложения, что удобно для применения в системах массового хостинга, на которых невозможно добиться поддержания всех пользовательских приложений в актуальном виде. Накладные расходы от работы модуля оцениваются как минимальные. Модуль написан на языке Си, подключается в форме разделяемой библиотеки («extension=snuffleupagus.so» в php.ini) и distribuito è sotto licenza LGPL 3.0.

Snuffleupagus предоставляет систему правил, позволяющую использовать как типовые шаблоны для повышения защиты, так и создавать собственные правила для контроля входных данных и параметров функций. Например, правило «sp.disable_function.function(«system»).param(«command»).value_r(«[$|;&`\\n]»).drop();» позволяет не изменяя приложения ограничить использование спецсимволов в аргументах функции system(). Предоставляются встроенные методы для блокирования таких классов уязвимоcтей, как проблемы, relativi alla serializzazione dei dati, non sicura. utilizzando la funzione PHP mail(), perdite di contenuto dei Cookie durante attacchi XSS, problemi derivanti dal caricamento di file con codice eseguibile (ad esempio, in formato phar), generazione inadeguata di numeri casuali e sostituzione di costruzioni XML non valide.

Предоставляемые в Snuffleupagus режимы повышения защиты PHP:

• L'attivazione automatica dei flag «secure» e «samesite» (protezione contro CSRF) per i Cookie, crittografia dei Cookie;
• Un set integrato di regole per rilevare tracce di attacchi e compromissioni delle applicazioni;
• Forzatura dell'attivazione globale della modalità «strict» (ad esempio, blocca il tentativo di specificare una stringa quando ci si aspetta un valore intero come argomento) e protezione da manipolazioni di tipo;
• Blocco predefinito di wrapper per protocolli (ad esempio, divieto di «phar://») con il loro esplicito permesso tramite una lista bianca;
• Divieto di eseguire file che sono accessibili in scrittura;
• Liste nere e bianche per eval;
• Attivazione obbligatoria del controllo dei certificati TLS durante l'utilizzo di
  curl;
• Aggiunta di HMAC agli oggetti serializzati per garantire che durante la deserializzazione i dati siano quelli salvati dall'applicazione originale;
• Modalità di registrazione delle richieste;
• Blocco del caricamento di file esterni in libxml tramite collegamenti in documenti XML;
• Possibilità di collegare gestori esterni (upload_validation) per controllare e scansionare i file caricati;

Tra le modifiche в новом выпуске: Улучшена поддержка PHP 7.4 и реализована совместимость с находящейся в разработке веткой PHP 8. Добавлена возможность журналирования событий через syslog (для включения предложена директива sp.log_media, которая может принимать значения php или syslog). Обновлён предлагаемый по умолчанию набор правил, в который добавлены новые правила для выявленных в последнее время уязвимостей и техник атак на web-приложения. Улучшена поддержка macOS и расширено применение платформы непрерывной интеграции на базе GitLab.

Fonte: opennet.ru