คำถามติดแท็ก supee-6788

เมื่อวันที่ 27 ตุลาคม 2558 Magento ได้เปิดตัวแพตช์รักษาความปลอดภัย SUPEE-6788 ตามรายละเอียดทางเทคนิค 4 APPSEC ที่ได้รับการแก้ไขจำเป็นต้องมีการทำงานซ้ำในโมดูลท้องถิ่นและชุมชน: APPSEC-1034, การจัดการกับการข้าม URL ของผู้ดูแลระบบที่กำหนดเอง (ถูกปิดใช้งานโดยค่าเริ่มต้น) APPSEC-1063, แก้ไขการฉีด SQL ที่เป็นไปได้ APPSEC-1057 วิธีการประมวลผลแม่แบบช่วยให้เข้าถึงข้อมูลส่วนตัว APPSEC-1079, จัดการกับการหาประโยชน์ที่อาจเกิดขึ้นกับประเภทไฟล์ตัวเลือกที่กำหนดเอง ฉันสงสัยว่าจะตรวจสอบว่าโมดูลใดได้รับผลกระทบจากแพตช์ความปลอดภัยนี้ ฉันคิดวิธีแก้ปัญหาบางส่วนต่อไปนี้: APPSEC-1034: ค้นหา<use>admin</use>ใน config.xml ของโมดูลโลคัลและชุมชนทั้งหมด ฉันคิดว่านี่น่าจะเป็นรายการโมดูลทั้งหมดที่ได้รับผลกระทบจากปัญหานี้ APPSEC-1063: ค้นหาaddFieldToFilter('(และaddFieldToFilter('`ในไฟล์ PHP ทั้งหมดของโมดูลโลคัลและชุมชน สิ่งนี้ไม่สมบูรณ์เนื่องจากยังสามารถใช้ตัวแปรได้ APPSEC-1057: ค้นหา{{config path=และ{{block type=ในไฟล์ PHP ทั้งหมดของโมดูลโลคัลและชุมชนและกรององค์ประกอบทั้งหมดจากรายการที่อนุญาต สิ่งนี้ไม่สมบูรณ์เนื่องจากไม่มีตัวแปรเทมเพลตใด ๆ ที่เพิ่มโดยผู้ดูแลระบบ APPSEC-1079: ไม่คิด นอกจากนี้ยังมีรายการส่วนขยายที่มีช่องโหว่สำหรับ APPSEC-1034 และ …

71 extensions  security  patches  routing  supee-6788 

APPSEC-1057 (ส่วนหนึ่งของ SUPEE-6788) Magento ได้รวมรายการที่อนุญาตของบล็อกหรือคำสั่งอนุญาต หากโมดูลหรือใครก็ตามใช้ตัวแปรเช่น{{config path=”web/unsecure/base_url”}}และ {{block type=rss/order_new}}ในหน้า CMS หรืออีเมลและคำสั่งไม่ได้อยู่ในรายการนี้คุณจะต้องเพิ่มพวกเขาด้วยสคริปต์การติดตั้งฐานข้อมูลของคุณ ส่วนขยายหรือรหัสที่กำหนดเองที่จัดการเนื้อหา (เช่นส่วนขยายบล็อก) อาจได้รับผลกระทบ หากรหัสของคุณใช้ตัวแปรหรือบล็อกการกำหนดค่าบางอย่างคุณต้องสร้างสคริปต์การอัพเดทข้อมูลที่เพิ่มตัวแปรหรือบล็อกลงในตารางรายการสีขาว: คุณอนุญาตรายการตัวแปรและบล็อกที่กำหนดเองอย่างปลอดภัยได้อย่างไร

45 admin  patches  supee-6788  template-directive  directive-whitelist 

ฉันไม่แน่ใจว่าจะอัปเดตโมดูลที่กำหนดเองเพื่อทำงานกับแพตช์SUPEE-6788 ได้อย่างไรคำแนะนำนั้นไม่ชัดเจน จากการสอนของ Alan Storm ฉันสร้างโมดูลง่าย ๆ ในเครื่องกำเนิดไฟฟ้า www.silksoftware.com/magento-module-creator/ สำหรับการทดสอบ มันมีหน้ากำหนดเองในผู้ดูแลระบบซึ่งทำงานได้อย่างสมบูรณ์แบบ แต่เมื่อฉันใช้การแก้ไขที่จำเป็นใน SUPEE-6788 หน้าผู้ดูแลระบบแสดงข้อผิดพลาด 404 URL ของหน้าผู้ดูแลระบบที่กำหนดเองคือ: localhost / index.php / admin / admin_adminhello / adminhtml_adminhellobackend / ดัชนี / คีย์ / 83f08ec4bddff37e47412e16acc8d3f6 / นี่คือการกำหนดค่าของโมดูล: <config> <modules> <Pulsestorm_Adminhello> <version>0.1.0</version> </Pulsestorm_Adminhello> </modules> <global> <helpers> <adminhello> <class>Pulsestorm_Adminhello_Helper</class> </adminhello> </helpers> <blocks> <adminhello> <class>Pulsestorm_Adminhello_Block</class> </adminhello> …

34 adminhtml  routing  supee-6788  custom-admin-url  ce-1.9.2.2 

หลังจากสัปดาห์ของการรอคอยโปรแกรมแก้ไขในวันนี้ (27.10.2015) ถูกปล่อยออกมา: SUPEE-6788 มีหลายสิ่งที่ได้รับการติดตั้งและควรตรวจสอบโมดูลที่ติดตั้งเพื่อหาช่องโหว่ที่อาจเกิดขึ้น ฉันเปิดโพสต์นี้เพื่อรับข้อมูลเชิงลึกเกี่ยวกับวิธีการใช้โปรแกรมแก้ไข ขั้นตอนในการใช้โปรแกรมแก้ไขมีอะไรบ้าง สำหรับความเข้าใจของฉันนี่คือขั้นตอน: แก้ไขโมดูลด้วยฟังก์ชันการทำงานของผู้ดูแลระบบที่ไม่ได้อยู่ภายใต้ URL ของผู้ดูแลระบบ แก้ไขโมดูลที่ใช้คำสั่ง SQL เป็นชื่อฟิลด์หรือฟิลด์ยกเว้น White list block หรือ directives ที่ใช้ตัวแปรเช่น{{config path=”web/unsecure/base_url”}}และ{{bloc type=rss/order_new}} การกล่าวถึงการหาประโยชน์ที่อาจเกิดขึ้นกับประเภทไฟล์ตัวเลือกที่กำหนดเอง (ไม่รู้จะทำอย่างไร) ใช้โปรแกรมปะแก้ นี่เป็นขั้นตอนที่ถูกต้องหรือไม่?

29 admin  security  patches  supee-6788 

หมายเหตุ: ปัญหานี้ดูเหมือนจะนำไปใช้กับ Magento ทุกรุ่นที่ได้รับแพตช์ SUPEE-6788 คุณจะเห็นในคำตอบของฉันว่าทั้งสอง .htaccessและ.htaccess.sampleจำเป็นต้องได้รับการฟื้นฟูเพื่อให้แพตช์สำเร็จ ผมทำงานเกี่ยวกับการใช้สุภี-6788 แพทช์ไปยังเว็บไซต์ CE 1.7.0.2 การใช้สคริปต์เปลือกที่มีให้โดยmagentocommerce.com/downloads ไซต์ดังกล่าวมีการใช้โปรแกรมปรับปรุงความปลอดภัยก่อนหน้านี้ทั้งหมด ชื่อของสคริปต์คือPATCH_SUPEE-6788_CE_1.7.0.2_v1-2015-10-27-12-00-16.shและมี md5sum ของcfc0cf533fe36a5f573414f0feeb1590(แพทช์นี้ผิดปกติในการที่มันถูกปล่อยออกมาไม่มีการบีบอัด - แม้ว่าไฟล์จะไม่ปรากฏเสียหายหรือถูกตัดทอน) เมื่อรันสคริปต์นี้คอนโซลเอาต์พุตจะปรากฏขึ้นเพื่อระบุว่าอย่างน้อยหนึ่งในแพตช์ที่รวมมานั้นล้มเหลวหรือถูกข้ามไป แต่ส่วนต่าง ๆ ของแพตช์สำเร็จ แต่gitไม่แสดงการเปลี่ยนแปลง สคริปต์ดังกล่าวได้รับการทดสอบในสภาพแวดล้อมที่แตกต่างกันสองแห่งโดยมี codebase เหมือนกันหนึ่งอันคือเวิร์กสเตชัน Ubuntu GNOME 14.04 LTS และอีกหนึ่งเซิร์ฟเวอร์แชร์ของnexcess.com (ใช้งาน CentOS) สิ่งที่น่าสนใจคือเอาต์พุตในสภาพแวดล้อมทั้งสองนั้นแตกต่างกันเล็กน้อย สังเกตบรรทัดที่ขึ้นต้นด้วย "กำลังตรวจสอบ" vs "การปะแก้" ตัวอย่างผลลัพธ์จากสภาพแวดล้อม Ubuntu: bash PATCH_SUPEE-6788_CE_1.7.0.2_v1-2015-10-27-12-00-16.sh [19:27:10] Checking if patch can be applied/reverted successfully... …

21 magento-1.7  ce-1.7.0.2  security  patches  supee-6788