CVE-2020–15227: Chyba potenciálně umožňující vzdálené spuštění kódu

filsedla napsal(a):

Ahoj, zajímalo by mě, nutilo tě něco to zveřejnit? Nebo, zvažoval jsi, že to nezveřejníš vůbec?

Mám nette rád, ale bojím se, že úplně celá nette komunita není tak pružná, lidi to neaktualizujou, a někdo to začne hackovat ve velkém :-(

Upřímně tvůj podnět nechápu. Ty by jsi navrhoval chybu tiše opravit, nedat to nikomu vědět a doufat, že všichni zaktualizují dřív než na to někdo příjde a zaůtočí na ně? To mi příjde maličko zcestné. Myslím že situace byla zvládnutá jak nejlépe mohla být.

Především fakt doufám, že to funguje tak, že před odpovědností za zneužití chyb v kódu autora chrání licence.

To je dobře.

Myslím si, že bylo určitě dobré opravit všechny verze a nějak o tom říct, ale je to užitečné jenom pro ty, kteří aktualizují.

Co ty, co ne? Kolik je webů s nette v nějaké neaktualizovatelné formě, webů, co jsou online, ale nestará se o ně žádný programátor apod.?

Lidé o chybě třeba nic neprozradí, ale přijde mi, že i ten samotný CVE report je příliš dobrý návod – pro zahraniční hackery obzvlášť, udělají tady z těch webů botnet.

dakur napsal(a):
Ale ony ani updaty nemusí být mánie. Prostě aktualizuješ celý projekt jednou za měsíc a je to. ✅

Ja aktualizuju kazdy tyden. Bere mi to 10–60m. Vsichni jsou happy, i ja jsem happy.

@Lukes ahoj, prosim nepis presnou URL

Ahoj,

potvrzuji pokus o zneužití na jednom z webů – včera a dnes ráno, naštěstí neúspěšný.

Michal Špaček připravil Linuxový skript, který automaticky aplikuje patch přímo do zdrojových kódů Nette na disku. Hodí se v případě, že udržujete velké množství projektů, které nemáte čas korektně aktualizovat pomocí Composeru.

Funguje to se všemi postiženými verzemi Nette, tedy od v2.0.0

Pokud nemáte Linux, použijte obdobu v PHP.

Nemám tušení, odkud se to ^v3.0.0-beta2 bere, ale občas taky narazím na nepochopitelné chování a někdy pomůže smazat composer.lock + vendor a nainstalovat všechno znova.

Ahoj, koukal jsem do logů neaktulizovaných aplikaci:

5.101.156.177 - - [14/Oct/2020:18:14:49 +0200] "GET ...=ifconfig HTTP/1.1" 301 5206
5.101.156.177 - - [14/Oct/2020:18:14:49 +0200] "GET ...=ifconfig HTTP/1.1" 404 13193

Byl jsem ochráněn? Nebo mám zkoumat všechny logy, co mi tam udělal?

Ahoj, dobrý den.
Dostala jsem dnes varovné maily od poskytovatele hostingu, že na obou mých webech se nachází neaktualizovaný PHP framework Nette obsahující kritickou zranitelnost CVE-2020–15227, která umožňuje spouštět útočníkovi svůj kód. Kontaktovala jsem jejich podporu, ale oni o tom nic neví a neumí poradit.
Jsem laik, web mám na wordpressu s hostingem u wedosu a vůbec netuším, kde a jak poznám, že se mě to skutečně týká. Natož jak to opravit. Můžete mě, prosím, nasměrovat?

Přiznávám, že místní řeči v kódech vůbec nerozumím :-)

Vyřešeno s autorem šablony na WP, kterou používám.

LucieK napsal(a):

Ahoj, dobrý den.
Dostala jsem dnes varovné maily od poskytovatele hostingu, že na obou mých webech se nachází neaktualizovaný PHP framework Nette obsahující kritickou zranitelnost CVE-2020–15227, která umožňuje spouštět útočníkovi svůj kód. Kontaktovala jsem jejich podporu, ale oni o tom nic neví a neumí poradit.
Jsem laik, web mám na wordpressu s hostingem u wedosu a vůbec netuším, kde a jak poznám, že se mě to skutečně týká. Natož jak to opravit. Můžete mě, prosím, nasměrovat?

Přiznávám, že místní řeči v kódech vůbec nerozumím :-)

ppar napsal(a):

Ahoj, koukal jsem do logů neaktulizovaných aplikaci:

5.101.156.177 - - [14/Oct/2020:18:14:49 +0200] "GET ...=ifconfig HTTP/1.1" 301 5206
5.101.156.177 - - [14/Oct/2020:18:14:49 +0200] "GET ...=ifconfig HTTP/1.1" 404 13193

Byl jsem ochráněn? Nebo mám zkoumat všechny logy, co mi tam udělal?

Odpovím si sám – pokud aplikace používá u každé routy modul, tak vše je OK:

Nette\Application\BadRequestException #404
Cannot load presenter 'Front:Nette:Micro', class 'App\FrontModule\NetteModule\Presenters\MicroPresenter' was not found.

<?php
declare(strict_types=1);

namespace App\Router;

use Nette;
use Nette\Application\Routers\RouteList;

final class RouterFactory
{

	use Nette\StaticClass;

	public static function createRouter(): RouteList
	{
		$router = new RouteList;

		$router->addRoute('[<locale=cs cs|en>/]admin[/<presenter>[/<action>[/<id>]]]', [
			'module' => 'Admin',
			'presenter' => 'Homepage',
			'action' => 'default'
		]);

		$router->addRoute('[<locale=cs cs|en>/]<presenter>[/<action>[/<id>]]', [
			'module' => 'Front',
			'presenter' => 'Homepage',
			'action' => 'default'
		]);
		//pokud je nějaká routa bez modulu, aplikace je zranitelná
        //$router->addRoute('<presenter>/<action>', 'Homepage:default');
		return $router;
	}
}

Testováno na Nette 3

Editoval ppar (16. 10. 2020 16:40)

ok, tak když už je prozrazen bod

možná jste si říkali, že by se vás to týkalo, ale naštěstí používáte nějakou feature, co vás vlastně zachrání (nebudu zmiňovat). týká se to možná i vás, v nette je zas jiná feature, která ještě eskaluje možnost zneužití této chyby

tak to můžu popsat konkrétněji – jestli používáte moduly přes RouteList, tak vás to neochrání, jelikož nette neprefixne vámi definovaný modul, pokud je to požadavek na Nette modul (a tedy i na Nette:Micro)

zavedl to tento commit: https://github.com/…0665c85589d2

David Matějka napsal(a):

@Lukes ahoj, prosim nepis presnou URL

Ahoj já jsem aktualizoval 5.10. na v3.0.6 a 14.10. už jsem tam měl exception „Parameter callback is not a valid closure.“ Pokud je to v exception tak se útok nepovedl předpokládám :-)

@pista5 ahoj, v nette/application 3.0.3 a 3.0.4 doslo k aktualizaci nejakych zavislosti (konkretne nette/utils a latte) a tak David jeste vydal 3.0.2.1, ktera je taky opravena a nevyzaduje dalsi aktualizace. muzes ale zkusit spustit composer update nette/application --with-dependencies. ale jestli se nepletu, tak asi v latte byl nejaky bc break…

kazdopadne ta 3.0.2.1 je bezpecna

Allconius napsal(a):

David Matějka napsal(a):

@Lukes ahoj, prosim nepis presnou URL

Ahoj já jsem aktualizoval 5.10. na v3.0.6 a 14.10. už jsem tam měl exception „Parameter callback is not a valid closure.“ Pokud je to v exception tak se útok nepovedl předpokládám :-)

Jojo to znamená, že se nepovedl ;-)

Ahoj. Díky aktualizaci se útok nejspíš neprovádí, logy mi však pořád zahlcuje chyba

PHP User Warning: Case mismatch on presenter name 'Nette:Micro', correct name is 'NetteModule:Micro'. in ...\vendor\nette\application\src\Application\PresenterFactory.php:86

Jak se toho zbavím? Nebo je to normální (že útok zanechává takovou stopu)?

Jsem na aktualizovaném nette 2.4

@DavidGrudl Jo. Je to nějaká zvláštní interakce strohého mappingu s tím napovídačem. Dá se to poměrně snadno nasimulovat, asi na jakémkoliv projektu, třeba web-project, nastavíš mapping

application:
	mapping:
		*: *\*Presenter

a zadáš URL na nette micro.

@DavidGrudl Díky