ম্যাজেন্টো সুরক্ষা প্যাচ SUPEE-6482, প্যাচড কী?

Question

আজ 04.08.2015 একটি নতুন সুরক্ষা প্যাচ প্রকাশ হয়েছিল, কিছু সহকর্মী এবং আমি প্যাচটি যাচাই করছিলাম, এবং কী পরিবর্তন হয়েছে সে সম্পর্কে কিছুটা আলোচনা করে সর্বদা আনন্দিত, এমন কি কেউ কি জানেন যে সম্ভাব্য আক্রমণগুলি কী প্রভাব ফেলতে পারে এবং অপরিবর্তিত দোকানে কী পারে? সবচেয়ে খারাপ যে ঘটতে পারে?

আপডেট: আমি পোস্টটি সম্পূর্ণ করতে আজই প্রেরিত ইমেল ম্যাজেন্টো যুক্ত করতে চেয়েছিলাম।

Comments

আমি নিশ্চিত যে এই দিনগুলিতে একটি মোড়ানো থাকবে। তবে আপনি যদি এটি ইতিমধ্যে চেক করে থাকেন এবং কোনও আলোচনা করতে চান তবে এগিয়ে যান! আপনার চিন্তা এবং ফলাফল ভাগ করুন!

— mam08ixo

প্যাচ নিজেই, না। 1.9.2.1 এর সম্পূর্ণ ইনস্টলটি সেই পরিবর্তনের জন্য পরীক্ষা করা উচিত, এই মুহুর্তে এটি কেবল 4 টি সুরক্ষা সমস্যা সমাধান করবে বলে মনে হচ্ছে

— ফায়াসকো ল্যাবস

আপনাকে একটি পূর্ণ আপগ্রেড করতে হবে, বা ব্যাকপোর্ট 1.9.2.0 => সিএমএস ব্লক এবং উইজেট ক্যাশে magento-1921/app/code/core/Mage/Cms/Block/Block.phpএবংmagento-1921/app/code/core/Mage/Cms/Block/Widget/Block.php

— ফায়াসকো ল্যাবগুলি

merch.docs.magento.com/ce/user_guide/… - আমি শেষদিন প্যাচগুলি আসবে যখন শেষ দিনগুলিতে শিরোনামগুলিতে এত বেশি মনোযোগ দেওয়ার পরে এসেছিল। এবং এটা আছে!

— hakre

@hakre - আমি শিরোনামগুলি অন্তর্ভুক্ত করার আগে প্যাচ সামগ্রীগুলি পড়তাম, যদি না সেই শিরোনামগুলি এপিআইতে না থাকে। সম্পূর্ণ ডাউনলোডের HTTP নিয়ামক এবং জাভাস্ক্রিপ্ট কুকি টেম্পলেটে কিছু প্যাচ রয়েছে, তবে 6482 প্যাচটি তা করে না doesn't

— ফায়াসকো ল্যাবগুলি

Answer 1

প্রকৃত সুরক্ষা প্যাচ ( SUPEE-6482 ) কেবলমাত্র নিম্নলিখিত দুটি ফাইলকে প্রভাবিত করে এবং এটি একটি API প্যাচ।

app/code/core/Mage/Api/Model/Server/Adapter/Soap.php
app/code/core/Mage/Catalog/Model/Product/Api/V2.php

সম্পূর্ণ 1.9.2.1 ইনস্টল সম্পূর্ণরূপে একটি পৃথক বিষয়। প্যাচ করা অন্যান্য দুটি আইটেম বের করার জন্য আমি 1.9.2.0 থেকে 1.9.2.1 এর মধ্যে সোর্স কোডটি পৃথক করব।

রিলিজ নোটগুলি সম্পূর্ণ ইনস্টলারের জন্য, আপনাকে রিলিজ নোটে উল্লিখিত সমস্ত আইটেম অন্তর্ভুক্ত রয়েছে কিনা তা পরীক্ষা করতে আপনাকে প্যাচটি পরীক্ষা করতে হবে।

আনপ্যাচড সার্ভার চালনার প্রভাবগুলি:

1. অবৈধ শিরোনাম ব্যবহার করে ক্রস-সাইট স্ক্রিপ্টিং => ক্যাশে বিষাক্ত
2. ম্যাজেন্টো এসওএপি এপিআই => রিমোট কোড অটোলয়েডে অটোলিজেড ফাইল অন্তর্ভুক্তি
3. উপহার রেজিস্ট্রি অনুসন্ধানে এক্সএসএস => কুকি চুরি এবং ব্যবহারকারীর ছদ্মবেশ
4. ডাব্লুএসডিএল ফাইলে এসএসআরএফ ক্ষতিগ্রস্থতা => অভ্যন্তরীণ সার্ভারের তথ্য ফাঁস এবং দূরবর্তী ফাইল অন্তর্ভুক্তি

দ্রষ্টব্য: ফাইলগুলি পুরো ইনস্টল আর্কাইভে প্যাচ করা হয়েছে যা প্যাচ সহ হ'ল না, হুঁ?

diff -r magento-1920/app/code/core/Mage/Core/Controller/Request/Http.php magento-1921/app/code/core/Mage/Core/Controller/Request/Http.php
300a301
>         $host = $_SERVER['HTTP_HOST'];
302,303c303,304
<             $host = explode(':', $_SERVER['HTTP_HOST']);
<             return $host[0];
---
>             $hostParts = explode(':', $_SERVER['HTTP_HOST']);
>             $host =  $hostParts[0];
305c306,313
<         return $_SERVER['HTTP_HOST'];
---
> 
>         if (strpos($host, ',') !== false || strpos($host, ';') !== false) {
>             $response = new Zend_Controller_Response_Http();
>             $response->setHttpResponseCode(400)->sendHeaders();
>             exit();
>         }
> 
>         return $host;

diff -r magento-1920/app/design/frontend/base/default/template/page/js/cookie.phtml magento-1921/app/design/frontend/base/default/template/page/js/cookie.phtml
37,38c37,38
< Mage.Cookies.path     = '<?php echo $this->getPath()?>';
< Mage.Cookies.domain   = '<?php echo $this->getDomain()?>';
---
> Mage.Cookies.path     = '<?php echo Mage::helper('core')->jsQuoteEscape($this->getPath()) ?>';
> Mage.Cookies.domain   = '<?php echo Mage::helper('core')->jsQuoteEscape($this->getDomain()) ?>';

Comments

আমি মনে করি যে অনুপস্থিত ফাইলগুলি সবচেয়ে সমালোচিত "অবৈধ শিরোনাম ব্যবহার করে ক্রস-সাইট স্ক্রিপ্টিং" সমস্যার সমাধান করে। গিফট রেজিস্ট্রি একটি EE- বৈশিষ্ট্য হওয়ায় "এক্সএসএস ইন গিফট রেজিস্ট্রি সিয়ারচ" ইস্যুটি ভুলভাবে সিই সংস্করণের জন্য প্যাচ ডকুমেন্টেশনে যুক্ত হয়েছে বলে মনে হচ্ছে।

— আধা ম্যাথিজসেন

হ্যাঁ, আমি বুঝতে পেরেছিলাম যে যাইহোক আমার সিই ইনস্টলেশনতে অনুপস্থিত পরিবর্তনগুলি প্রয়োগ করা যথেষ্ট ছিল এবং ম্যাজেন্টো এটির সন্ধান করার জন্য অপেক্ষা না করে এবং যখন তারা এটির কাছাকাছি আসে তখন আমাদের একটি ভি 2 প্যাচ প্রেরণ করে। কুকি উপাদান এবং কুকির উপাদানগুলিতে ব্যবহার না করা অনিচ্ছাকৃত ব্যবহারকারী ইনপুটটিকে এক বিগের মতো মনে হয়।

— ফায়াসকো ল্যাবগুলি

ম্যাজেন্টো ডকুমেন্টেশন আপডেট করেছে: "ক্রস-সাইট স্ক্রিপ্টিং ব্যবহার করে অবৈধ শিরোনামগুলি" এবং "গিফট রেজিস্ট্রি অনুসন্ধানে এক্সএসএস" সমস্যাগুলি কেবল "কেবলমাত্র ম্যাজেন্টো এন্টারপ্রাইজ সংস্করণের জন্য" হিসাবে চিহ্নিত হয়েছে। তবে এরই মধ্যে, ম্যাজেন্টো সিই 1.9.2.1.1 এ "অবৈধ শিরোনাম ব্যবহার করে ক্রস-সাইট স্ক্রিপ্টিং" ইস্যু বা তার কমপক্ষে একটি অংশের সমাধান রয়েছে।

— আধা ম্যাথিজসেন

হি, ক্রমে সিই সংক্ষিপ্ত-পরিবর্তন। সিই-র বিশিষ্ট তালিকা নেই, তবে অবশ্যই ডকুমেন্টেশন পরিবর্তন নয়, প্যাচ দিয়ে চলে যাওয়ার জন্য "অবৈধ শিরোনামগুলি" ইস্যুটি অবশ্যই দরকার। ওহ, ভাল ... আমরা প্রত্যাশা করতে এসেছি কি আরও।

— ফায়াসকো ল্যাবগুলি

রেকর্ডের জন্য - আমাদের পরীক্ষাগুলি অনুসারে - অবৈধ শিরোনাম ব্যবহার করে ক্রস-সাইট স্ক্রিপ্টিং কোনও সিই দুর্বলতা নয়। যদি কেউ কোনও পোকি সরবরাহ করতে পারে যে সেখানে সিই দুর্বলতা রয়েছে তবে দয়া করে magento.com/ সুরক্ষায় যান এবং এটি রিপোর্ট করুন।

— বেনমার্কস

Answer 2

আমি বিস্তারিত পরিবর্তনগুলি এবং কোন পার্শ্ব প্রতিক্রিয়াগুলি প্রত্যাশা করে তা একবার দেখে নিই।

EE 1.13.1.0 এর সংস্করণে নিম্নলিখিত ফাইলগুলি পরিবর্তিত হয়েছে:

2015-08-05 07:14:25 UTC | SUPEE-6482_EE_1.13.1.0 | EE_1.13.1.0 | v2 | 7e38036f94f250514fcc11d066a43c9bdb6a3723 | Tue Jul 28 14:29:35 2015 +0300 | v1.13.1.0..HEAD
patching file app/code/core/Enterprise/PageCache/Model/Processor.php
patching file app/code/core/Mage/Api/Model/Server/Adapter/Soap.php
patching file app/code/core/Mage/Catalog/Model/Product/Api/V2.php
patching file app/code/core/Mage/Core/Controller/Request/Http.php
Hunk #1 succeeded at 294 (offset 7 lines).
patching file app/design/frontend/base/default/template/page/js/cookie.phtml
patching file app/design/frontend/enterprise/default/template/giftregistry/search/form.phtml

• মধ্যে Adapter/Soap.php, urlencoding প্রমাণীকরণ ডেটা যুক্ত করা হয়। এর কোনও নেতিবাচক পার্শ্ব প্রতিক্রিয়া হওয়া উচিত। এটি নিশ্চিত করে যে ফলাফলটি wsdlUrlবৈধ। এই পরিবর্তন ব্যতীত, কেউ ইউআরএলকে প্রভাবিত করতে পারে
• Product/Api/V2.php: পাস করা ডেটা কোনও বস্তু হলে এখানে কিছু চেক দেওয়া আছে। সাধারণ পরিস্থিতিতে এটি হওয়া উচিত নয়।
• মধ্যে Request/Http.phpএবং PageCache/Model/Processor.phpএকটি চেক যখন HTTP- র HOST কে পেয়ে যোগ করা হয়। এটি উল্লিখিত শিরোনামের ইনজেকশনগুলিকে কভার করে বলে মনে হচ্ছে। এইচটিটিপি হোস্টে ;বা সেখানে উপস্থিত থাকলেই চেকটি প্রযোজ্য ,, সুতরাং এটি বাস্তব জীবনের সিস্টেমে নিরবচ্ছিন্ন হওয়া উচিত / এর কোনও নেতিবাচক পার্শ্ব প্রতিক্রিয়া নেই।
• মধ্যে cookie.phtmlপলায়নের যোগ করা হয়। সুতরাং আপনি যদি সেই ফাইলটি ওভাররাইট করেন তবে এটি আপনার থিমের দিকে এগিয়ে যেতে হবে
• অনুরূপ giftregistry/search/form.phtml

এটি সংক্ষেপে আমি বলব প্যাচ প্রয়োগের কোনও নেতিবাচক পার্শ্ব প্রতিক্রিয়া হওয়া উচিত নয়। আপনার .phtmlফাইলগুলিতে পরিবর্তনগুলি পোর্ট ফরওয়ার্ড করতে ভুলবেন না ।

Comments

নিশ্চিতকরণের জন্য ধন্যবাদ, শিরোনাম ইনজেকশন এবং কুকি উপাদান পালানো সিই ব্যাকপোর্টে সহজ।

— ফায়াসকো ল্যাবগুলি

বন্দরের দরকার নেই। ডাউনলোডের ক্ষেত্রে সিই এর জন্য প্যাচ সংস্করণ রয়েছে।

— অ্যালেক্স

Answer 3

অদ্ভুত বিষয় হ'ল EE প্যাচে নিম্নলিখিত ফাইলগুলিতে পরিবর্তন রয়েছে:

app/code/core/Mage/Core/Controller/Request/Http.php
app/design/frontend/base/default/template/page/js/cookie.phtml

যখন সিই এক হয় না, সমমানের সংস্করণের জন্য।

আমি অনুমান করি যে SUPEE-6482সিই সংস্করণটিতে কিছু অনুপস্থিত রয়েছে এবং খুব শীঘ্রই একটি ভি 2 প্রকাশ হতে পারে।

Comments

আমিও এটাই ভেবেছিলাম!

— rob3000

হ্যাঁ, আপনি ঠিক লক্ষ্য করেছেন। 1.9.2.0 এবং 1.9.2.1 ইনস্টলেশন সংরক্ষণাগারগুলি পৃথক করে আমি পেয়েছি। আমার কারণে এটি সম্পূর্ণ প্যাচযুক্ত সিই ইনস্টলেশন রয়েছে, আমি এগিয়ে গিয়ে ম্যানুয়ালি উল্লিখিত দুটি ফাইল প্যাচ করেছি। জেএস কুকি ফাইলটি আপনার কাস্টম টেম্পলেটে প্যাচ করা দরকার পাশাপাশি আপনার যদি সেই ফাইলটি থাকে। তারা সম্ভবত অনুরোধ নিয়ামককে প্যাচ হিসাবে এড়িয়ে গেছিল কারণ এটির আগে কোনও প্যাচযুক্ত ফাইলটি প্যাচ করতে হবে এবং আমাদের কোনও সিই প্রেম চলছে না।

— ফায়াসকো ল্যাবগুলি

উত্পাদন পরিবেশে মোতায়েন করার কিছু দিন আগে "অপেক্ষা" করার আরও একটি কারণ (এবং এই দিনগুলিকে লাইভে যাওয়ার আগে আরও ভাল চেক করতে ব্যবহার করুন)। আজ, ম্যাজেন্টো ব্যাকএন্ডে আরও একটি আপডেটের বিজ্ঞপ্তি (4 সুরক্ষার দুর্বলতার পরিবর্তে ২ টি সম্পর্কে বিজ্ঞপ্তি)। যাইহোক, আমি কমপক্ষে লাইভ হওয়ার জন্য সোমবার পর্যন্ত অপেক্ষা করব।

— ডারক কাউয়য়

ম্যাজেন্টো তাদের প্রকাশের নোটটি আপডেট করেছে: Merch.docs.magento.com/ce/user_guide/… কিছু প্যাচগুলি কার্যকরভাবে কেবল EE। তবে আমি এখনও পাই না কেন কোর ভিত্তিতে এই 2 টি ফাইল সিই প্যাচে উদ্বেগ নয়, কারণ সেগুলি সিই ১.৯.২.১ এ সংহত হয়েছে ...

— এন্টোনে কোসিউবা

Answer 4

সংস্করণ সিই ও ইইতে নীচের ইস্যুটির জন্য ঠিক করার জন্য ম্যাজেন্টো রিলিজ প্যাচ SUPEE-6482

ম্যাজেন্টো সম্প্রদায় সংস্করণের জন্য:

• ম্যাজেন্টো এসওএপি এপিআইতে অটোলয়েড ফাইল অন্তর্ভুক্তি
• ডাব্লুএসডিএল ফাইলে এসএসআরএফের ক্ষতিগ্রস্থতা

ম্যাজেন্টো এন্টারপ্রাইজ সংস্করণের জন্য

• ম্যাজেন্টো এসওএপি এপিআইতে অটোলয়েড ফাইল অন্তর্ভুক্তি
• ডাব্লুএসডিএল ফাইলে এসএসআরএফের ক্ষতিগ্রস্থতা
• অবৈধ শিরোনাম ব্যবহার করে ক্রস-সাইট স্ক্রিপ্টিং

উপহার রেজিস্ট্রি অনুসন্ধানে এক্সএসএস

ক্লাসে পরিবর্তন করছেন

• Mage_Api_Model_Server_Adapter_Soap

• Mage_Catalog_Model_Product_Api_V2

Mage_Api_Model_Server_Adapter_Soap এ পরিবর্তনগুলি

             : $urlModel->getUrl('*/*/*');

         if ( $withAuth ) {
-            $phpAuthUser = $this->getController()->getRequest()->getServer('PHP_AUTH_USER', false);
-            $phpAuthPw = $this->getController()->getRequest()->getServer('PHP_AUTH_PW', false);
-            $scheme = $this->getController()->getRequest()->getScheme();
+            $phpAuthUser = rawurlencode($this->getController()->getRequest()->getServer('PHP_AUTH_USER', false));
+            $phpAuthPw = rawurlencode($this->getController()->getRequest()->getServer('PHP_AUTH_PW', false));
+            $scheme = rawurlencode($this->getController()->getRequest()->getScheme());

             if ($phpAuthUser && $phpAuthPw) {
                 $wsdlUrl = sprintf("%s://%s:%s@%s", $scheme, $phpAuthUser, $phpAuthPw,

ম্যাগ_গ্যাট_এলালগ_মডেল_প্রডাক্ট_অপি_ভি 2 এ পরিবর্তন করুন

     public function create($type, $set, $sku, $productData, $store = null)
     {
-        if (!$type || !$set || !$sku) {
+        if (!$type || !$set || !$sku || !is_object($productData)) {
             $this->_fault('data_invalid');
         }

@@ -243,6 +243,9 @@ class Mage_Catalog_Model_Product_Api_V2 extends Mage_Catalog_Model_Product_Api
      */
     protected function _prepareDataForSave ($product, $productData)
     {
+        if (!is_object($productData)) {
+            $this->_fault('data_invalid');
+        }
         if (property_exists($productData, 'website_ids') && is_array($productData->website_ids)) {
             $product->setWebsiteIds($productData->website_ids);
         }

আরও দেখুন: http://www.amitbera.com

Comments

হাই অমিত বেরা (@ অমিত-বেরা), আমি ম্যাজেন্টো 1.9.2.1 এর পৃথক জিপ আকারে প্যাচ সুপারি -6482 কোথায় পাব?

— অন্ধি ইরাওয়ান

@ অন্ধি, ম্যাজেন্টো ১.৯.২.১ ইতিমধ্যে এটির কোড কাঠামোতে প্যাচ কোড অন্তর্ভুক্ত করা হয়েছে, সুতরাং আপনাকে সুপারি -৪82২২ প্রয়োগ করতে হবে না

— অমিত বেরা

@ অমিত বেরা, এখনও যদি ম্যাজেন্টো 1.9.1.0 ব্যবহার করেন তবে 1.9.2.1 এ আপগ্রেড করতে হবে কিনা? মানে, কেবল প্যাকেজটি সুপারি-64৪৮৮ ইনস্টল করতে পারবেন?

— অন্ধি ইরাওয়ান

নোট করুন যে অবৈধ হেডার প্যাচ সিই প্যাচগুলিতে নেই, নিম্নলিখিত ফাইলগুলি স্পর্শ করা হয়নি => app/code/core/Mage/Core/Controller/Request/Http.phpএবং app/design/frontend/base/default/template/page/js/cookie.phtmlঅনুপস্থিতগুলির মধ্যে রয়েছে। হতে পারে আমাদের পড়ার জন্য শীর্ষে প্রশ্নটি পরিবর্তন করা উচিত: ম্যাজেন্টো সুরক্ষা প্যাচ SUPEE-6482, কী প্যাচড নয় ?

— ফায়াসকো ল্যাবগুলি

@ অমিত বেড়া, দুঃখিত, Magento দ্বারা যোগ আগস্ট 4, 2015 এ যুক্ত করা হয়েছে magentocommerce.com/download : ডাউনলোড করুন -> Magento কমিউনিটি এডিশন প্যাচ -> SUPEE-6482

— Andhi Irawan

Answer 5

দয়া করে এই রিলিজটিতে ম্যাজেন্টোর ডকুমেন্টেশন পড়ুন, উত্তরটি এখানে রয়েছে: http://merch.docs.magento.com/ce/user_guide/Magento_Commune_Edition_User_Guide.html#magento/release-notes-ce-1.9.2.1.html

Comments

তথ্যমূলক থাকাকালীন এই থ্রেডে প্রাসঙ্গিক বিভাগটি অনুলিপি করার বিষয়ে বিবেচনা করুন। লিঙ্কগুলির কেবলমাত্র উত্তরই সেরা উত্তর নয় কারণ লিঙ্কগুলির অদৃশ্য হওয়ার অভ্যাস রয়েছে (বিশেষত ম্যাজেন্টো ডকুমেন্টেশন লিঙ্কগুলি!)

— ফিলিঙ্কল

@ ফিলিভিঙ্কল - হেই, হ্যাঁ আমরা সবাই সেখানে এসেছি। MagEbayVaporation (x_x) লিওর লিওর।

— ফায়াসকো ল্যাবগুলি

Answer 6

এই প্যাচটিতে অন্যান্য সাম্প্রতিক প্যাচগুলির মতো প্রচুর অনুলিপি, লাইসেন্স এবং টাইপো ফিক্স রয়েছে। এটি আমি যা দেখেছি তার থেকে কয়েকটি টাইপোগুলিরও পরিচয় দেয়।

প্রকৃত সুরক্ষা প্যাচ অংশটি 4 টি বিভিন্ন সম্ভাব্য আক্রমণগুলির জন্য ব্যবহারকারীর ইনপুট স্যানিটাইজেশনকে সম্বোধন করে।