CSRF हमला और सत्र अपहरण अपव्यय


12

1.8CE अल्फा रिलीज नोट्स से:

Magento के वेब स्टोर में अतिरिक्त क्रॉस साइट रिक्वेस्ट फ़ॉररी (CSRF) सुरक्षा है, जिसका अर्थ है कि एक इम्पोस्टर अब एक नए पंजीकृत ग्राहक को प्रतिरूपित नहीं कर सकता है और ग्राहक की ओर से कार्रवाई कर सकता है।

तथा:

पहले संस्करणों में, मैगेंटो पंजीकरण प्रक्रिया के दौरान एक सत्र निर्धारण हमले के लिए असुरक्षित था। उनके खाते में लॉग इन करने के बाद, एक पंजीकृत उपयोगकर्ता का सत्र आईडी नहीं बदला। इसलिए, यदि किसी हमलावर को अनधिकृत सत्र आईडी का ज्ञान था और यदि वह उपयोगकर्ता सफलतापूर्वक पंजीकृत हो जाता है, तो हमलावर नए पंजीकृत खाते को संभालने में सक्षम था। अब, सफल पंजीकरण के बाद सत्र आईडी बदल जाती है, जिससे किसी खाते का अनधिकृत उपयोग असंभव हो जाता है।

यदि यह जारी नोटों में है, और मुझे यह देखते हुए पूर्व संस्करणों पर एक बिंदु-विमोचन दिखाई नहीं दे रहा है (क्या मैं गलत जगह देख रहा हूं?) - तो क्या इसका मतलब यह है कि वर्तमान पूर्व-1.8 स्टोर संभवतः इन हमले के लिए खुले हैं? वैक्टर ?

स्रोत: http://www.magentocommerce.com/knowledge-base/entry/ce-18-later-release-notes


मैंने इन कमजोरियों के लिए एक पैच प्राप्त करने के विवरण के साथ नीचे अपना उत्तर अपडेट किया।
davidalger

जवाबों:


9

संक्षेप में, हाँ। सीई 1.7 अभी भी उन विशिष्ट हमलों के लिए असुरक्षित है क्योंकि कोई भी सुरक्षा जारी नहीं की गई है जिसमें पैच शामिल है।

बाद वाले एक के मामले में, एक सत्र निर्धारण हमला, परिवर्तन सुरक्षा प्रथाओं में एक उन्नयन है जो मैगेंटो पहले से ही वर्तमान सुरक्षा सर्वोत्तम प्रथाओं के अनुरूप रहने के लिए उपयोग करता था। यदि वे सीएसआरएफ फिक्स के साथ एक पैच जारी करते हैं, तो सीई 1.7 को जारी किए जाने की संभावना नहीं है।

असली सवाल यह है कि वास्तव में ये सीएसआरएफ भेद्यताएं क्या थीं जो तय की गई थीं? निस्संदेह एक अच्छी बात यह है कि उन्होंने जारी नोटों में बारीकियों को शामिल नहीं किया, इस प्रकार सभी पूर्व रिलीज को खतरे में डाल दिया, लेकिन पुराने कार्यान्वयन को पचाने के लिए यह जानना अच्छा होगा।

अद्यतन # 1: मैगेंटो तक पहुंचने पर यह पता लगाने के लिए कि वे उपरोक्त कमजोरियों के लिए पैच कब जारी करेंगे, मुझे निम्न उत्तर मिला:

मुझे आगे अनुसंधान के लिए कुछ समय देने की अनुमति दें। मुझे यकीन नहीं है कि उन दो वस्तुओं के लिए पैच उपलब्ध हैं, क्योंकि वे हमारे सिस्टम में उत्पाद संवर्द्धन के रूप में सूचीबद्ध हैं और बग के रूप में नहीं। अधिक जानकारी मिलने पर मैं आपको अपडेट करूंगा।

मैं आगे के विवरण यहाँ पोस्ट करूँगा क्योंकि मैं उन्हें प्राप्त करता हूँ, और पैच जारी करने के लिए अपनी पूरी कोशिश करूँगा क्योंकि ऐसा लगता है कि वर्तमान में कोई पैच मौजूद नहीं हैं।

अद्यतन # 2: समर्थन टीम के साथ आगे और पीछे के बाद, मैं Magento EE 1.12.0.2 के लिए एक उचित पैच प्राप्त करने में सक्षम था। Magento CE 1.7.0.2 के लिए कोई पैच जारी नहीं किया गया था, और जहाँ तक तकनीशियन जो आंतरिक रूप से मेरे लिए देखते थे, जानते हैं, CE 1.7 के लिए एक आधिकारिक पैच जारी करने की कोई योजना नहीं है। केवल आगामी CE 1.8 में मुद्दों को हल करने के बजाय। स्थिर निस्तार।

ईई विशिष्ट पैच फ़ाइल के रूप में, मैं इसे (या पैच एप्लिकेशन टूल) सीधे यहां पोस्ट नहीं कर सकता क्योंकि यह सबसे निस्संदेह मैगेंटो और स्वयं के बीच एनडीए के उल्लंघन में होगा और जिस कंपनी के लिए मैं काम करता हूं। प्रासंगिक पैच का नाम है: "PATCH_SUPEE-1513_EE_1.12.0.2_v1.sh" - यदि आपके पास एंटरप्राइज़ संस्करण या इसका उपयोग करने वाला ग्राहक है, तो आपको इस नोट के बारे में एक नोट के साथ Magento सहायता से इस पैच का अनुरोध करने में सक्षम होना चाहिए: CSRF भेद्यता जो इसे ठीक करना है।

CE 1.7.0.2 उपयोगकर्ताओं के लिए, मैंने एक पैच फ़ाइल (Magento द्वारा प्रदान किए गए पैच के आधार पर) उत्पन्न करने की स्वतंत्रता ली है, जिसमें केवल कोड के ढेर शामिल हैं जो Magento CE 1.7.0.2 कोर कोड फ़ाइलों को बदलते हैं। सामान्य फैशन में, इसमें संबंधित टिप्पणियों के अप्रासंगिक बिट्स और संबंधित कोड परिवर्तनों के साथ समायोजित स्वरूपण शामिल हैं। इसे आवश्यक रूप से बनाने के लिए मूल पैच को बदलने के लिए प्रदान किए गए पैच एप्लायंस टूल का उपयोग करके इसे लागू करने के लिए, फिर लागू परिवर्तनों के आधार पर एक पैच उत्पन्न करने के लिए गिट का उपयोग करना।

पैच फ़ाइल जो मैंने बनाई है उसे इस gist से डाउनलोड किया जा सकता है: https://gist.github.com/davidalger/5938568

पैच को लागू करने के लिए, पहले अपने Magento इंस्टॉलेशन के रूट में cd और निम्न कमांड चलाएँ: patch -p1 -i ./Magento_CE_1.7.0.2_v1-CSRF_Patch.diff

EE विशिष्ट पैच में एंटरप्राइज़ विशिष्ट नियंत्रकों, एंटरप्राइज़ / डिफ़ॉल्ट और एंटरप्राइज़ / iphone टेम्प्लेट में परिवर्तन को कुंजी सत्यापन जाँच शामिल किया गया था ताकि पैच नियंत्रक गतिविधियों के लिए उपयोग किए जा रहे फ़ॉर्म में फ़ॉर्म कुंजियों को शामिल किया जा सके, और अतिरिक्त पूर्ण पृष्ठ कैश फ़ंक्शनलिटी को ठीक से खाते में रखा जा सके। कैश्ड पृष्ठों पर आगे और पीछे फॉर्म की चाबियां।

अस्वीकरण: मैं Magento द्वारा प्रदान की गई ईई पैच या तो परीक्षण नहीं किया है और न ही पैच मैं जुड़े जीआईटी को अपलोड किया है। संदर्भित gist में प्रदान किया गया पैच NO WARRANTY के साथ प्रदान किया गया है और CE 1.8 रिलीज़ नोटों में संदर्भित कमजोरियों को पूरी तरह से हल कर सकता है या नहीं भी कर सकता है। एक अनछुए पैच के रूप में, इस बात की भी कोई गारंटी नहीं है कि यह पूरे या हिस्से में काम करता है। यानी अपने जोखिम पर उपयोग करें, और उत्पादन वातावरण को लागू करने से पहले परीक्षण करने के लिए उचित परिश्रम करें। यदि आप पैच के साथ समस्या पाते हैं, तो मुझे बताएं और मैं इसे अपडेट करूंगा।


1
अस्पष्टता के माध्यम से सुरक्षा एक अच्छा विचार नहीं है। उन्हें इसे सार्वजनिक करना चाहिए ताकि हर कोई उसकी स्थापना को पैच कर सके। इसके अलावा दो संस्करणों के बीच एक सरल अंतर आपको हमले के काम और पुराने प्रतिष्ठानों को कैसे पैच करना है, इस पर काफी अच्छा प्रभाव देना चाहिए। इसलिए जानकारी वैसे भी बाहर है।
द्रोणखार

1
सहमत, अश्लीलता बिल्कुल भी अच्छी सुरक्षा नहीं है, और मैं निश्चित रूप से यह संकेत देने की कोशिश नहीं कर रहा था । हालांकि, जिम्मेदार खुलासा कुछ ऐसा है जिस पर विचार किया जाना चाहिए। सभी के लिए हम जानते हैं, कमजोरियों को ईई 1.13 और सीई 1.8 ए 1 की सार्वजनिक रिलीज से पहले मैगेंटो हफ्तों के लिए प्रस्तुत किया जा सकता था। एफडब्ल्यूआईडब्ल्यू, मैं मैगेंटो में कुछ लोगों से संपर्क करने के लिए यह पता लगाने के लिए संपर्क करूंगा कि क्या उनके पास ईई 1.12 के लिए पैच हैं और 1.7 प्रतिष्ठानों के लिए क्या योजना है; विशेष रूप से CSRF भेद्यताओं के लिए।
डेविडलगर

चलो एक अद्यतन के लिए देखते हैं और एक पैच जारी होने पर तदनुसार प्रश्न / उत्तर को संपादित करते हैं। धन्यवाद।
philwinkle

मैंने अभी मैगेंटो से मिले प्रारंभिक उत्तर के साथ एक अपडेट पोस्ट किया है। लगता है कि वर्तमान में कोई पैच नहीं है, इसलिए मैं यह देखने जा रहा हूं कि मैं इसके बारे में क्या कर सकता हूं। मैं निश्चित रूप से y'all को यहां रखूंगा ... और संभवतः मेरे ट्विटर पर भी।
davidalger

2

मुझे 100% यकीन नहीं है क्योंकि मैं इस मुद्दे को पुन: पेश करने में सक्षम नहीं था

अभिप्राय यह है कि एक आयातक अब एक नए पंजीकृत ग्राहक को प्रतिरूपित नहीं कर सकता है

इसका मतलब है कि अब तक 'एक आयातक' एक नए पंजीकृत ग्राहक को प्रतिरूपित कर सकता है।
मुझे उम्मीद है कि यह सिर्फ 'शब्दार्थ' है, लेकिन मुझे लगता है कि इसका मतलब है कि आपको इससे डर लगता है।


अब तक, इसका मतलब 1.8 में तय किया गया है - या आपका क्या मतलब है?
फैबियन ब्लेसस्मिड

हाँ ... यही मेरा मतलब है।
मारियस
हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.