Fa'asa'olotoina o le Snuffleupagus 0.5.1, o se module mo le polokaina o fa'aletonu ile PHP talosaga

Ina ua mavae se tausaga o atinae lomia fa'amatu'u galuega Snuffleupagus 0.5.1, lea e tuʻuina atu ai se module mo le PHP7 faʻaliliuga e faʻaleleia ai le saogalemu o le siosiomaga ma poloka faʻalavelave masani e taʻitaʻia ai faʻafitauli i le faʻaogaina o talosaga PHP. O le module e mafai foi ona e faia pa'u mama e faʻaumatia faʻafitauli faʻapitoa e aunoa ma le suia o le code source of the vulnerable application, lea e faigofie mo le faʻaaogaina i le tele o faiga faʻapipiʻi e le mafai ai ona faʻatumauina uma talosaga a tagata faʻaoga i le taimi nei. O tau fa'aulu o le module e fa'atatau e la'ititi. O le module ua tusia i le C, e fesoʻotaʻi i foliga o se faletusi faʻasoa ("faʻaopoopoga = snuffleupagus.so" i le php.ini) ma tufatufaina e laiseneina ile LGPL 3.0.

Snuffleupagus e tuʻuina atu se tulafono faʻavae e mafai ai ona e faʻaogaina faʻataʻitaʻiga masani e faʻaleleia ai le saogalemu, poʻo le fatuina o au lava tulafono e pulea ai faʻamatalaga faʻapipiʻi ma faʻasologa o galuega. Mo se faʻataʻitaʻiga, o le tulafono "sp.disable_function.function("system").param("poloaiga").value_r("[$|;&`\\n]").drop();" fa'atagaina oe e fa'agata le fa'aogaina o mataitusi fa'apitoa i fa'atonuga () galuega e aunoa ma le suia o le talosaga. O auala faʻapipiʻi ua tuʻuina atu e poloka ai vasega o faʻafitauli e pei o faʻafitauli, fesootai fa'atasi ai ma fa'amaumauga fa'amaumauga, le saogalemu fa'aogaina o le PHP meli () galuega, le leakage o mea o lo'o i totonu o Kuki i le taimi o osofa'iga a le XSS, fa'afitauli ona o le utaina o faila ma le code fa'atino (mo se fa'ata'ita'iga, i le fa'asologa phar), leaga le lelei fa'atupu numera fa'afuase'i ma suitulaga le sa'o XML faufale.

Faiga faʻaleleia o le saogalemu PHP saunia e Snuffleupagus:

• Otometi ona fa'agasolo fu'a "saogalemu" ma le "samesite" (CSRF protection) mo Kuki, fa'ailoga Kuki;
• O tulafono fa'apipi'iina e fa'ailoa ai fa'ailoga o osofa'iga ma fa'amalieina o talosaga;
• Fa'amalosia le fa'agaoioia o le lalolagi "matua" (mo se faʻataʻitaʻiga, poloka se taumafaiga e faʻamaonia se manoa pe a faʻamoemoeina se numera numera o se finauga) ma puipuiga mai fa'aogaina ituaiga;
• Fa'atonu poloka afifiina o feagaiga (mo se fa'ata'ita'iga, fa'asa le "phar://") fa'atasi ai ma le latou fa'ailoga manino;
• Fa'asa i le fa'atinoina o faila e mafai ona tusia;
• Lisi uliuli ma papae mo eval;
• Manaomia ina ia mafai ai ona siaki tusi faamaonia TLS pe ​​a fa'aoga
  pipi'i;
• Fa'aopoopoina o le HMAC i mea fa'asologa e fa'amautinoa ai e toe maua mai e le fa'ama'i fa'amaumauga o lo'o teuina e le ulua'i talosaga;
• Talosaga logging mode;
• Puipuia le utaina o faila i fafo i le libxml e ala i fesoʻotaʻiga i pepa XML;
• Malosiaga e fa'afeso'ota'i tagata fa'apitoa i fafo (upload_validation) e siaki ma su'esu'e faila na tu'uina atu;

Faatasi ai ma le suiga i le faʻasalalauga fou: Faʻaleleia le lagolago mo le PHP 7.4 ma faʻatinoina le fesoʻotaʻiga ma le PHP 8 lala o loʻo atinaʻe nei. O le seti fa'aletonu o tulafono ua toe fa'afouina e aofia ai tulafono fou mo fa'aletonu ua iloa talu ai nei ma osofa'iga fa'asaga i talosaga i luga ole laiga. Faʻaleleia le lagolago mo macOS ma faʻalauteleina le faʻaogaina o le faʻaogaina faʻaauau faʻavae e faʻavae ile GitLab.

puna: opennet.ru