Fa'asa'olotoina o le Snuffleupagus 0.5.1, o se module mo le polokaina o fa'aletonu ile PHP talosaga

Ina ua mavae se tausaga o atinae lomia fa'amatu'u galuega Snuffleupagus 0.5.1, предоставляющего модуль к интерпретатору PHP7 для повышения безопасности окружения и блокирования типовых ошибок, приводящих к появлению уязвимостей в выполняемых PHP-приложениях. Модуль также позволяет создавать pa'u mama для устранения конкретных проблем без изменения исходных текстов уязвимого приложения, что удобно для применения в системах массового хостинга, на которых невозможно добиться поддержания всех пользовательских приложений в актуальном виде. Накладные расходы от работы модуля оцениваются как минимальные. Модуль написан на языке Си, подключается в форме разделяемой библиотеки («extension=snuffleupagus.so» в php.ini) и tufatufaina e laiseneina ile LGPL 3.0.

Snuffleupagus предоставляет систему правил, позволяющую использовать как типовые шаблоны для повышения защиты, так и создавать собственные правила для контроля входных данных и параметров функций. Например, правило «sp.disable_function.function(«system»).param(«command»).value_r(«[$|;&`\\n]»).drop();» позволяет не изменяя приложения ограничить использование спецсимволов в аргументах функции system(). Предоставляются встроенные методы для блокирования таких классов уязвимоcтей, как проблемы, fesootai fa'atasi ai ma fa'amaumauga fa'amaumauga, le saogalemu fa'aogaina o le PHP meli () galuega, le leakage o mea o lo'o i totonu o Kuki i le taimi o osofa'iga a le XSS, fa'afitauli ona o le utaina o faila ma le code fa'atino (mo se fa'ata'ita'iga, i le fa'asologa phar), leaga le lelei fa'atupu numera fa'afuase'i ma suitulaga le sa'o XML faufale.

Предоставляемые в Snuffleupagus режимы повышения защиты PHP:

• Otometi ona fa'agasolo fu'a "saogalemu" ma le "samesite" (CSRF protection) mo Kuki, fa'ailoga Kuki;
• O tulafono fa'apipi'iina e fa'ailoa ai fa'ailoga o osofa'iga ma fa'amalieina o talosaga;
• Fa'amalosia le fa'agaoioia o le lalolagi "matua" (mo se faʻataʻitaʻiga, poloka se taumafaiga e faʻamaonia se manoa pe a faʻamoemoeina se numera numera o se finauga) ma puipuiga mai fa'aogaina ituaiga;
• Fa'atonu poloka afifiina o feagaiga (mo se fa'ata'ita'iga, fa'asa le "phar://") fa'atasi ai ma le latou fa'ailoga manino;
• Fa'asa i le fa'atinoina o faila e mafai ona tusia;
• Lisi uliuli ma papae mo eval;
• Manaomia ina ia mafai ai ona siaki tusi faamaonia TLS pe ​​a fa'aoga
  pipi'i;
• Fa'aopoopoina o le HMAC i mea fa'asologa e fa'amautinoa ai e toe maua mai e le fa'ama'i fa'amaumauga o lo'o teuina e le ulua'i talosaga;
• Talosaga logging mode;
• Puipuia le utaina o faila i fafo i le libxml e ala i fesoʻotaʻiga i pepa XML;
• Malosiaga e fa'afeso'ota'i tagata fa'apitoa i fafo (upload_validation) e siaki ma su'esu'e faila na tu'uina atu;

Faatasi ai ma le suiga в новом выпуске: Улучшена поддержка PHP 7.4 и реализована совместимость с находящейся в разработке веткой PHP 8. Добавлена возможность журналирования событий через syslog (для включения предложена директива sp.log_media, которая может принимать значения php или syslog). Обновлён предлагаемый по умолчанию набор правил, в который добавлены новые правила для выявленных в последнее время уязвимостей и техник атак на web-приложения. Улучшена поддержка macOS и расширено применение платформы непрерывной интеграции на базе GitLab.

puna: opennet.ru