Siideynta Snuffleupagus 0.5.1, oo ah cutubka xannibaya dayacanka codsiyada PHP

Sanad ka dib horumarka la daabacay sii daynta mashruuca Snuffleupagus 0.5.1, kaas oo siiya moduleka turjubaanka PHP7 si loo hagaajiyo amniga deegaanka oo looga hortago khaladaadka caadiga ah ee u horseedaya nuglaanta socodsiinta codsiyada PHP. Module sidoo kale wuxuu kuu ogolaanayaa inaad abuurto balastar muuqaal ah si loo baabi'iyo dhibaatooyinka gaarka ah iyada oo aan la beddelin koodhka isha ee codsiga nugul, kaas oo ku habboon isticmaalka nidaamyada martigelinta ballaaran halkaas oo aan suurtagal ahayn in la sii wado dhammaan codsiyada isticmaalaha ilaa taariikhda. Kharashka sare ee moduleka ayaa lagu qiyaasay inuu yahay mid aad u yar. Cutubka waxa uu ku qoran yahay C, waxa uu ku xidhan yahay qaab maktabad la wadaago ("extension=snuffleupagus.so" ee php.ini) iyo qaybiyey shatiga ku haysta LGPL 3.0.

Snuffleupagus wuxuu bixiyaa nidaam xeer kaas oo kuu ogolaanaya inaad isticmaasho jaantusyada caadiga ah si aad u wanaajiso amniga, ama aad u sameyso xeerar adiga kuu gaar ah si aad u xakameyso xogta gelinta iyo cabbirrada shaqada. Tusaale ahaan, qaanuunka "sp.disable_function.function ("system").param ("command").value_r ("[$|; & `\n]"). dhibic ();" Waxay kuu ogolaaneysaa inaad xaddido isticmaalka jilayaasha gaarka ah ee nidaamka () doodaha shaqada adigoon bedelin codsiga. Hababka la dhisay ayaa la bixiyaa si loo xakameeyo noocyada baylahda sida arrimaha, la xidhiidha oo leh xog taxane ah, aan ammaan ahayn isticmaalka PHP mail () shaqada, daadinta waxyaabaha ku jira kukiyada inta lagu guda jiro weerarada XSS, dhibaatooyinka ay sabab u tahay raritaanka faylasha leh kood la fulin karo (tusaale ahaan, qaabka far), jiilka tirada random tayada liidata iyo badalid dhismayaal XML khaldan

Hababka kobcinta amniga PHP ee uu bixiyo Snuffleupagus:

• Si toos ah ugu sahla "ammaan" iyo "samesite" ( ilaalinta CSRF) ee Kukiyada, codeynta Kukiyada;
• Xeerar lagu dhex dhisay si loo garto raadadka weerarrada iyo tanaasulka codsiyada;
• Dhaqdhaqaaqa caalamiga ah ee qasabka ah"adag"(tusaale ahaan, wuxuu xannibaa isku dayga lagu qeexayo xargaha marka la filayo qiimaha isugeynta dood ahaan) iyo ka hortagga nooca wax-is-dabamarinta;
• Xiritaanka caadiga ah duubabka borotokoolka (tusaale ahaan, mamnuucida "phar://") oo wata liiskooda cad;
• Mamnuucida fulinta faylasha la qori karo;
• Liisaska madow iyo caddaanka ah ee eval;
• Loo baahan yahay si loo suurtageliyo hubinta shahaadada TLS marka la isticmaalayo
  laablaabashada;
• Ku darida HMAC walxaha taxanaha ah si loo hubiyo in kala-goyntu ay dib u soo ceshato xogta lagu kaydiyay codsigii asalka ahaa;
• Codso habka jaridda;
• Joojinta raritaanka faylasha dibadda ee libxml iyada oo la adeegsanayo isku xirka dukumentiyada XML;
• Awoodda isku xidhka hawlwadeennada dibadda (upload_validation) si loo hubiyo oo loo baadho faylasha la soo galiyay;

Waxaa ka mid ah isbedel Siideynta cusub: Taageerada la wanaajiyay ee PHP 7.4 iyo la jaanqaadida laanta PHP 8 ee hadda ku jirta horumarka ayaa lagu daray awoodda lagu galo dhacdooyinka iyada oo loo marayo syslog (dardaaranka sp.log_media ayaa loo soo jeediyay in lagu daro, kaas oo qaadan kara php ama syslog). Nidaamka caadiga ah ee xeerarka waa la cusboonaysiiyay si loogu daro xeerar cusub oo dhowaan la aqoonsaday baylahda iyo farsamooyinka weerar ee ka dhanka ah codsiyada webka. Taageerada la wanaajiyay ee macOS iyo adeegsiga la ballaariyay ee madal is dhexgalka joogtada ah ee ku saleysan GitLab.

Source: opennet.ru