Projektet Snuffleupagus utvecklar en PHP-modul för att blockera sårbarheter

Inom ramen för projektet Snuffleupagus utvecklas en modul för att ansluta till PHP7-tolken, avsedd att öka säkerheten i miljön och blockera typiska fel som leder till sårbarheter i körande PHP-applikationer. Modulen möjliggör också skapandet av virtuella patchar för att åtgärda specifika problem utan att ändra källkoden för den sårbara applikationen, vilket är bekvämt för användning i masshosting-system där det är svårt att hålla alla användarapplikationer aktuella. Modulen är skriven i C och ansluts i form av ett delat bibliotek ("extension=snuffleupagus.so" i php.ini) och sprids under LGPL 3.0-licens.

Snuffleupagus erbjuder ett regelsystem som låter användaren använda både standardmallar för att öka skyddet och skapa egna regler för att kontrollera indata och funktionsparametrar. Till exempel gör regeln "sp.disable_function.function(«system»).param(«command»).value_r(«[$|;&`\\n]»).drop();" det möjligt att begränsa användningen av specialtecken i argumenten för funktionen system() utan att behöva ändra applikationen. På liknande sätt kan virtuella patchar skapas för att blockera kända sårbarheter.

Enligt tester utförda av utvecklarna påverkar Snuffleupagus nästan inte prestandan. För att säkerställa egen säkerhet (eventuella sårbarheter i skyddslagret kan utgöra en extra vektor för attacker) tillämpas grundlig testning av varje commit i olika distributioner, statiska analysystem används, och koden struktureras och dokumenteras för att underlätta granskning.

Inbyggda metoder för att blockera sådana typer av sårbarheter erbjuds, som problem med som var kopplade data serialisering, osäkra användning av PHP-funktionen mail(), läckage av Cookie-innehåll vid XSS-attacker, problem på grund av uppladdning av filer med körbar kod (till exempel i formatet phar), dålig generering av slumpmässiga tal och substitution av felaktiga XML-konstruktioner.

De skyddsmekanismer som stöds av PHP inkluderar:

• Automatisk aktivering av flaggor "secure" och "samesite" (skydd mot CSRF) för Cookies, kryptering av Cookies;
• Ett inbyggt regelsystem för att upptäcka spår av attacker och kompromettering av applikationer;
• Tvingande global aktivering av "strict"-läget.strict» (t.ex. blockerar försök att ange en sträng när ett heltal förväntas som argument) och skydd mot manipulering av typer;
• Standardblockering wrappar för protokoll (t.ex. förbud mot "phar://"), med uttryckligt tillstånd genom vitlista;
• Förbud mot körning av filer som är skrivbara;
• Svarta och vita listor för eval;
• Krav på certifikatkontroll av TLS vid användning av
  curl;
• Tillägg av HMAC till serialiserade objekt för att säkerställa att de data som återhämtas vid deserialisering kommer från den ursprungliga applikationen;
• Logger för begärningar;
• Blockering av laddning av externa filer i libxml via länkar i XML-dokument;
• Möjlighet att ansluta externa hanterare (upload_validation) för att kontrollera och skanna uppladdade filer;

Projektet skapades och används för att skydda användare i infrastrukturen hos en av de stora franska hostingoperatörerna. Det noterades, vilket innebär att en enkel installation av Snuffleupagus skulle kunna skydda mot många farliga sårbarheter som identifierades i år i Drupal, WordPress och phpBB. Sårbarheter i Magento och Horde skulle kunna blockeras genom att aktivera läget
"sp.readonly_exec.enable()".

Källa: opennet.ru