সুরক্ষা প্যাচ SUPEE-6788 দ্বারা কোন মডিউলগুলি প্রভাবিত হয়েছে তা কীভাবে পরীক্ষা করবেন

71

২ October শে অক্টোবর, ২০১৫, ম্যাজেন্টো সুরক্ষা প্যাচ SUPEE-6788 প্রকাশ করেছে। প্রযুক্তিগত বিবরণ অনুসারে , 4 টি APPSEC এর স্থির করা হয়েছে তাদের স্থানীয় এবং সম্প্রদায় মডিউলগুলিতে কিছুটা পুনরায় কাজ করা দরকার:

  • APPSEC-1034, কাস্টম অ্যাডমিন URL টি বাইপাস করে সম্বোধন করা (ডিফল্টরূপে অক্ষম)
  • APPSEC-1063, সম্ভাব্য এসকিউএল ইঞ্জেকশন সম্বোধন করছে
  • APPSEC-1057, টেমপ্লেট প্রক্রিয়াকরণ পদ্ধতিটি ব্যক্তিগত তথ্যে অ্যাক্সেসের অনুমতি দেয়
  • APPSEC-1079, কাস্টম অপশন ফাইল প্রকারের সাথে সম্ভাব্য শোষণকে সম্বোধন করছে

আমি ভাবছিলাম যে কী সুরক্ষা প্যাচ দ্বারা কোন মডিউলগুলি প্রভাবিত হয়েছে তা যাচাই করবেন।

আমি নিম্নলিখিত আংশিক সমাধান নিয়ে এসেছি:

  • APPSEC-1034: <use>admin</use>সমস্ত স্থানীয় এবং সম্প্রদায় মডিউলগুলির config.xML অনুসন্ধান করুন । আমি মনে করি এটি এই সমস্যা দ্বারা প্রভাবিত সমস্ত মডিউল তালিকাভুক্ত করা উচিত।
  • APPSEC-1063: স্থানীয় এবং সম্প্রদায় মডিউলগুলির সমস্ত পিএইচপি ফাইলগুলির জন্য addFieldToFilter('(এবং অনুসন্ধান করুন addFieldToFilter('`। এটি অসম্পূর্ণ, কারণ ভেরিয়েবলগুলিও ব্যবহার করা যেতে পারে।
  • APPSEC-1057: স্থানীয় এবং সম্প্রদায় মডিউলগুলির সমস্ত পিএইচপি ফাইলগুলির জন্য {{config path=এবং অনুসন্ধান করুন এবং {{block type=শ্বেত তালিকা থেকে সমস্ত উপাদান ফিল্টার আউট করুন। এটি অসম্পূর্ণ, কারণ এতে অ্যাডমিনদের দ্বারা যুক্ত কোনও টেম্পলেট ভেরিয়েবল নেই।
  • APPSEC-1079: ধারণা নেই।

পিটার জাপ ব্লাকমিয়ার দ্বারা সংকলিত অ্যাপসইএসসি -1034 এবং অ্যাপ্লিকেশন -1063 এর জন্য সংবেদনশীল এমন এক্সটেনশনের একটি তালিকা রয়েছে

extensions  security  patches  routing  supee-6788 
— আড মঠিজসেন
সূত্র
@ পিটারজ্যাপব্লাকমিরের সাথে কীভাবে যোগাযোগ করতে হবে সে সম্পর্কে আমার কোনও ধারণা নেই তবে আমার একটি এক্সটেনশন রয়েছে যা তালিকায় যুক্ত হওয়া দরকার: অ্যাডমিন ইউআরএল ইস্যুটির জন্য ফ্রি লঞ্চল্যাবস কনস্ট্যান্ট কনট্যাক্ট
— ডেভিড উইলকিন্স
6
কে এই সমাধান কিছু নিয়ে এসেছেন? হঠাৎ একটি ব্লক টাইপ এবং পরিবর্তনশীল শ্বেত তালিকা হতে চলেছে? Magento আপগ্রেড করা সবসময়ই একটি ব্যথা হয়ে থাকে, তবে এটিকে আরও ব্যথা করার জন্য ম্যাজেন্টোর কাছে ভাল কাজ।
— Agop
6
হেই, ম্যাজেন্টো, যে উপহারটি দিয়ে চলেছে। আমি সবেমাত্র 1.9.2.1 সামঞ্জস্যের জন্য সমস্ত মডিউল আপগ্রেড করা শেষ করেছি। বেট মডিউল বিকাশকারীরা কেবল আনন্দের জন্য ঝাঁপিয়ে পড়ছেন বা পাহাড়ের জন্য চিৎকার করছেন।
— ফায়াসকো ল্যাবগুলি
3
এই মুহুর্তে প্যাচ পরবর্তী সপ্তাহের জন্য স্থগিত করা হয়েছে - পরের সপ্তাহের প্রথমদিকে প্যাকেজটি রিলিজ স্থগিত করুন এবং প্যাচটি সংশোধন করুন যাতে অ্যাডমিনের রাউটিং পরিবর্তনগুলি ডিফল্টরূপে বন্ধ হয়ে যায়। এর অর্থ হ'ল প্যাচটিতে ফিক্স অন্তর্ভুক্ত থাকবে তবে এটি ইনস্টল করা অবস্থায় অক্ষম হবে। নতুন প্রকাশের তারিখ এবং প্যাচে পরিবর্তনগুলি আপনাকে আপনার কোডে আপডেট করার জন্য কিছু অতিরিক্ত সময় দেবে এবং মার্চেন্টদের প্যাচটির এই অংশটি চালু করার জন্য নমনীয়তা দেবে যখন এটির সাথে কাজ করার জন্য তাদের এক্সটেনশন এবং কাস্টমাইজেশন আপডেট হয়ে যায়।
— ফায়ারবিয়ার
1
— মুকেশ

উত্তর:

55

SUPEE-6788 প্রকাশিত হয়েছে এবং অ্যাডমিন রাউটিং পরিবর্তনগুলি ডিফল্টরূপে বন্ধ হয়ে যায়। এর অর্থ হ'ল প্যাচটিতে ফিক্স অন্তর্ভুক্ত রয়েছে তবে এটি ইনস্টল করা অবস্থায় অক্ষম হবে। এটি আপনাকে আপনার কোডে আপডেট করার জন্য কিছু অতিরিক্ত সময় দেবে এবং মার্চেন্টদের প্যাচটির এই অংশটি চালু করার জন্য তাদের এক্সটেনশানগুলি এবং কাস্টমাইজেশনগুলি এর সাথে কাজ করার জন্য আপডেট হয়ে গেলে নমনীয়তা দেয়।

পাথ ইনস্টলের পরে এক্সটেনশনের জন্য অ্যাডমিন রাউটিং সক্ষমতা সক্ষম করার জন্য অ্যাডমিন -> উন্নত -> প্রশাসন -> সুরক্ষা যান।

ম্যাজেন্টো সিই 1.4-1.6 প্যাচগুলি বিলম্বিত হয় এবং এটি প্রায় এক সপ্তাহের মধ্যে পাওয়া উচিত!

SUPEE-6788 সংস্থানসমূহের তালিকা

— FireBear
সূত্র
যে কোনও "সংশোধন করবে না" মডিউলগুলির জন্য, আমরা কী সাধারণভাবে পরিবর্তন করতে হবে তা নথিভুক্ত করতে পারি যাতে এই মডিউলগুলি ম্যানুয়ালি 6788 এর সাথে কাজ করতে পারে? উদাহরণস্বরূপ, "সমস্ত addFieldToFilterকল থেকে এক্স সরান ।"
— টাইলার ভি।
1
প্যাচটি মুক্তি পেয়েছে। আপনার উত্তর আপডেট করুন।
— ওচেম
@ ফায়ার বিয়ার আমি ইতিমধ্যে অতীতে বহুবার ম্যাজেন্টো প্যাচ প্রয়োগ করেছি। তবে SUPEE-6788 সম্পর্কে আমার সন্দেহ আছে। আমাকে অন্যান্য প্যাচগুলির মতো এটি প্রয়োগ করার দরকার আছে এবং পরে আমি ম্যাজেন্টো অ্যাডমিন প্যানেলে অ্যাডমিন রাউটিং সক্ষম করতে সক্ষম করতে পারি বা ইনস্টলেশনের সময় কেবল আমার যত্ন নেওয়া উচিত। সুপারিশ করুন.
— মুকেশ
2
@ মুখ হ্যাঁ আপনি এটিকে অন্যান্য প্যাচ হিসাবে ইনস্টল করতে পারেন, তবে ভাঙা এক্সটেনশানগুলি সম্পর্কে সতর্ক হওয়া দরকার, যদি আপনি কিছু এক্সটেনশান তালিকা তৈরি করেন তবে আপনাকে সেগুলি ম্যানুয়ালি ঠিক করতে হবে বা বিকাশকারীদের কাছ থেকে আপডেটের জন্য অপেক্ষা করতে হবে, যতক্ষণ না আপনি সক্ষম করতে পারবেন - অ্যাডমিন রাউটিং ক্ষমতা এক্সটেনশনের জন্য
— ফায়ারবার ২৩
@ ফায়ার বিয়ার আপনি কি আপনার মতামতটি কমিউনিটি.মেটেন্টো / টি 5 / ভার্সন- আপগ্রেডস / ৮ (কাস্টম মডিউলের আগে ও পরে) প্রদান করতে পারেন
— মুকেশ
21

দ্বন্দ্ব শনাক্ত করার বিষয়ে অন্যান্য মন্তব্যের পংক্তির পাশাপাশি আমরা প্যারাডক্সল্যাবগুলিতে অ্যাপ্লিকেশন -1034 (অ্যাডমিন কন্ট্রোলার) এবং অ্যাপসইসিসি-1057 (শ্বেত তালিকাভুক্ত) দ্বারা আক্রান্ত সমস্ত কিছু সনাক্ত করার জন্য একটি স্ক্রিপ্ট তৈরি করেছি। এটি যে কোনও খারাপ নিয়ন্ত্রকদেরও ঠিক করার চেষ্টা করবে, যেহেতু এটি করা মোটামুটি সুনির্দিষ্ট এবং আক্রমণাত্মক পরিবর্তন।

এটি APPSEC-1063 (এসকিউএল ইনজেকশন) বা APPSEC-1079 (কাস্টম বিকল্পগুলি) কভার করে না, তবে এটি যদি দুর্দান্ত হয় তবে তা দুর্দান্ত। কোনও ধরণের নির্ভুলতার সাথে তাদের কীভাবে সনাক্ত করা যায় তা নিশ্চিত নয়। আমরা অবদানের জন্য উন্মুক্ত।

https://github.com/rhoerr/supee-6788-toolbox

— রায়ান হোয়ার
সূত্র
3
এটি সত্যিই দরকারী দেখায়, ভাল কাজ!
— পজ
ফিক্সহাইটলিস্টগুলি শ্বেত তালিকাতে ব্লক যুক্ত করে তবে ভেরিয়েবলগুলির জন্য এটি একই রকম মনে হয় না - দয়া করে আপনি নিশ্চিত করতে পারেন?
— জিগোজাকো
1
@ জিগোজাকো এটি উভয়টি জুড়ে।
— রায়ান হোয়ের
হ্যাঁ, এটিকে একবারে দেখিয়ে বের করে ফেলেছেন। প্যারাডক্সল্যাবস দ্বারা দুর্দান্ত কাজ, সুপার জব :)
— জিগোজাকো
প্যারাডক্সল্যাবসের প্রতি শ্রদ্ধা। এই সরঞ্জামটি প্রচুর পরিমাণে কাজ সাশ্রয় করছে।
— ডারকউয়বয়
5

এই পিএইচপি স্ক্রিপ্ট প্রস্তাবিত SUPEE-6788 প্যাচ দ্বারা প্রভাবিত Magento কোড সনাক্ত করতে কার্যকর হতে পারে ।

এটি কোনওভাবেই এই প্যাচটির জন্য একটি নির্বোধ সুরক্ষা চেক নয়, তবে মডিউল এবং কোড প্রভাবিত হয়ে আপনার ইনস্টলেশনটি দ্রুত স্ক্যান করতে কার্যকর হতে পারে।

এর সাথে স্ক্রিপ্টটি ইনস্টল করুন 

wget https://raw.githubusercontent.com/gaiterjones/magento-appsec-file-check/master/magento_appsec_file_check.php

আপনার Magento ইনস্টলেশনের পথে সম্পাদনা করুন

$_magentoPath='/home/www/magento/';

চালান 

php magento_appsec_file_check.php

আক্রান্ত ফাইলগুলি প্রদর্শিত হবে:

*** Magento security file check ***
[1] APPSEC-1034, addressing bypassing custom admin URL
2 effected files :
<use>admin</use> found in  app/code/community/Itabs/Debit/etc/config.xml
<use>admin</use> found in  app/code/core/Mage/Adminhtml/etc/config.xml


[2] APPSEC-1063, addressing possible SQL injection
2 effected files :
collection->addFieldToFilter(' found in  app/code/community/Itabs/Debit/Model/Export/Abstract.php
collection->addFieldToFilter(' found in  app/code/community/Itabs/Debit/controllers/Adminhtml/OrderController.php
collection->addFieldToFilter(' not found.
collection->addFieldToFilter('\` not found.
collection->addFieldToFilter('\` not found.


[3] APPSEC-1057, template processing method allows access to private information
{{config path= not found.
{{block type= not found.


***********************************

কোডটির উপস্থিতিগুলির জন্য স্ক্রিপ্টটি ম্যাজেন্টো ফাইলগুলি অনুসন্ধান করতে গ্রেপ ব্যবহার করে যা এসইপিইই -6788 প্রয়োগ করা হলে কাস্টমাইজেশন বা এক্সটেনশনের সাথে পশ্চাদপটে সামঞ্জস্যতা সম্ভবত ভেঙে দিতে পারে।

— paj
সূত্র
4

সমস্ত এক্সটেনশানগুলির সাথে ইতিমধ্যে একটি বড় তালিকা রয়েছে যা এসইপিইই -6788 এর সাথে ভেঙে যাবে

এখানে আরও তথ্য: https://docs.google.com/spreadsheets/d/1LHJL6D6xm3vD349DJsDF88FBI_6PZvx_u3FioC_1-rg/edit#gid=0

— গ্যারি ওল্ডারম্যান
সূত্র
এই তালিকাটি কীভাবে সংগ্রহ করা হয়েছিল তা জানতে পেরে আমি সত্যিই আগ্রহী।
— mam08ixo
3
এটি ছিল ভিড়ের উত্স; আসল উত্স হ'ল: docs.google.com/spreadsheets/d/…
— হারমান স্ল্যাটম্যান
: উপরে পাতা এবং পরিবর্তে উৎস, যা আপ-টু-ডেট রাখা হয় লিঙ্কটি থেকে তালিকা সরিয়ে দিন docs.google.com/spreadsheets/d/...
— আদ Mathijssen
1
আপডেট সংস্করণ সম্পর্কে জানাতে কোন যোগাযোগ আছে? আমি দেখছি কমপক্ষে 2-3 টি মডিউল যা ইতিমধ্যে আপডেট হয়েছিল।
— বর্ধিত
-1

কনটেন্ট ফিল্টারের মাধ্যমে প্রক্রিয়া করা যেতে পারে অনুমোদিত ভেরিয়েবলের তালিকা পিডিএফ-এ দেখানোর চেয়ে বড়:

+ trans_email/ident_support/name
+ trans_email/ident_support/email
web/unsecure/base_url
web/secure/base_url
trans_email/ident_general/name
+ trans_email/ident_general/email
trans_email/ident_sales/name
trans_email/ident_sales/email
trans_email/ident_custom1/name
trans_email/ident_custom1/email
trans_email/ident_custom2/name
trans_email/ident_custom2/email
general/store_information/name
general/store_information/phone
general/store_information/address

(আমি +ভেরিয়েবলগুলির আগে একটি যুক্ত করেছি যা পিডিএফটিতে বর্ণিত হয়নি)

সামগ্রী ফিল্টারের মাধ্যমে প্রক্রিয়া করা যেতে পারে এমন অনুমোদিত ব্লকগুলি হ'ল:

core/template
catalog/product_new
— ড্যানিয়েল ভ্যান ডের গার্ডে
সূত্র
আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.