ການປ່ອຍ Snuffleupagus 0.5.1, ໂມດູນສໍາລັບການສະກັດຊ່ອງໂຫວ່ໃນຄໍາຮ້ອງສະຫມັກ PHP

ຫຼັງຈາກປີຂອງການພັດທະນາ ຈັດພີມມາ ການປ່ອຍໂຄງການ Snuffleupagus 0.5.1, предоставляющего модуль к интерпретатору PHP7 для повышения безопасности окружения и блокирования типовых ошибок, приводящих к появлению уязвимостей в выполняемых PHP-приложениях. Модуль также позволяет создавать ແຜ່ນ virtual для устранения конкретных проблем без изменения исходных текстов уязвимого приложения, что удобно для применения в системах массового хостинга, на которых невозможно добиться поддержания всех пользовательских приложений в актуальном виде. Накладные расходы от работы модуля оцениваются как минимальные. Модуль написан на языке Си, подключается в форме разделяемой библиотеки («extension=snuffleupagus.so» в php.ini) и ແຈກຢາຍໂດຍ ອະນຸຍາດພາຍໃຕ້ LGPL 3.0.

Snuffleupagus предоставляет систему правил, позволяющую использовать как типовые шаблоны для повышения защиты, так и создавать собственные правила для контроля входных данных и параметров функций. Например, правило «sp.disable_function.function(«system»).param(«command»).value_r(«[$|;&`\\n]»).drop();» позволяет не изменяя приложения ограничить использование спецсимволов в аргументах функции system(). Предоставляются встроенные методы для блокирования таких классов уязвимоcтей, как проблемы, ທີ່ກ່ຽວຂ້ອງ ມີ serialization ຂໍ້ມູນ, ບໍ່ປອດໄພ ການນໍາໃຊ້ຟັງຊັນ PHP mail(), ການຮົ່ວໄຫລຂອງເນື້ອໃນ Cookie ໃນລະຫວ່າງການໂຈມຕີ XSS, ບັນຫາເນື່ອງຈາກການໂຫຼດໄຟລ໌ທີ່ມີລະຫັດປະຕິບັດ (ຕົວຢ່າງ, ໃນຮູບແບບ. ຟາ), ການຜະລິດຈໍານວນ Random ທີ່ມີຄຸນນະພາບທີ່ບໍ່ດີແລະ ການທົດແທນ ໂຄງສ້າງ XML ບໍ່ຖືກຕ້ອງ.

Предоставляемые в Snuffleupagus режимы повышения защиты PHP:

• ເປີດໃຊ້ທຸງ "ປອດໄພ" ແລະ "ດຽວກັນ" (ການປົກປ້ອງ CSRF) ໂດຍອັດຕະໂນມັດສຳລັບຄຸກກີ້, ການເຂົ້າລະຫັດ ຄຸກກີ;
• ກົດລະບຽບທີ່ກໍານົດໄວ້ໃນຕົວເພື່ອກໍານົດຮ່ອງຮອຍຂອງການໂຈມຕີແລະການປະນີປະນອມຂອງຄໍາຮ້ອງສະຫມັກ;
• ບັງຄັບໃຫ້ການເຄື່ອນໄຫວທົ່ວໂລກຂອງ "ຢ່າງເຄັ່ງຄັດ" (ຕົວຢ່າງ, ຂັດຂວາງຄວາມພະຍາຍາມທີ່ຈະລະບຸສະຕຣິງໃນເວລາທີ່ຄາດຫວັງວ່າຄ່າຈໍານວນເຕັມເປັນ argument) ແລະການປົກປ້ອງຕໍ່ກັບ ການຫມູນໃຊ້ປະເພດ;
• ການບລັອກເລີ່ມຕົ້ນ ຫໍ່ໂປໂຕຄອນ (ຕົວຢ່າງເຊັ່ນການຫ້າມ "phar://") ດ້ວຍບັນຊີຂາວທີ່ຊັດເຈນຂອງພວກເຂົາ;
• ການຫ້າມການດໍາເນີນການໄຟລ໌ທີ່ສາມາດຂຽນໄດ້;
• ບັນຊີລາຍຊື່ສີດໍາແລະສີຂາວສໍາລັບການ eval;
• ຕ້ອງການເພື່ອເປີດໃຊ້ການກວດສອບໃບຢັ້ງຢືນ TLS ເມື່ອໃຊ້
  curl;
• ເພີ່ມ HMAC ກັບວັດຖຸ serialized ເພື່ອຮັບປະກັນວ່າ deserialization ດຶງຂໍ້ມູນທີ່ເກັບໄວ້ໂດຍຄໍາຮ້ອງສະຫມັກຕົ້ນສະບັບ;
• ຮ້ອງຂໍຮູບແບບການບັນທຶກ;
• ການຂັດຂວາງການໂຫຼດໄຟລ໌ພາຍນອກໃນ libxml ຜ່ານການເຊື່ອມຕໍ່ໃນເອກະສານ XML;
• ຄວາມສາມາດໃນການເຊື່ອມຕໍ່ຕົວຈັດການພາຍນອກ (upload_validation) ເພື່ອກວດສອບແລະສະແກນໄຟລ໌ທີ່ອັບໂຫລດ;

ໃນບັນດາ ການປ່ຽນແປງ в новом выпуске: Улучшена поддержка PHP 7.4 и реализована совместимость с находящейся в разработке веткой PHP 8. Добавлена возможность журналирования событий через syslog (для включения предложена директива sp.log_media, которая может принимать значения php или syslog). Обновлён предлагаемый по умолчанию набор правил, в который добавлены новые правила для выявленных в последнее время уязвимостей и техник атак на web-приложения. Улучшена поддержка macOS и расширено применение платформы непрерывной интеграции на базе GitLab.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru