SUPEE-9767, modman e symlink

Vorrei patchare un negozio Magento con SUPEE-9767. La documentazione per SUPEE-9767 mi dice di disabilitare l'impostazione Symlink prima di applicare la patch:

Prima di applicare la patch o l'aggiornamento all'ultima versione, assicurarsi di disabilitare l'impostazione Symlink ... L'impostazione, se abilitata, sovrascriverà l'impostazione del file di configurazione e la modifica richiederà la modifica diretta del database.

Ma io uso modman per gestire i moduli e poiché alcuni dei moduli utilizzano file modello, l'impostazione Symlink è abilitata in base al suggerimento nel README di modman. È sicuro lasciare abilitata l'impostazione Symlink come uno dei post in Security Patch SUPEE-9767 - Possibili problemi? suggerisce (non posso ancora commentare i post da quando sono un nuovo utente)?

Gli utenti che utilizzano modman per gestire i moduli Magento 1.x devono assicurarsi di non disabilitare i collegamenti simbolici poiché ciò disattiverà i moduli modman.

Se lascio l'impostazione Symlink abilitata, il negozio non sarebbe esposto ad APPSEC-1281: esecuzione di codice in remoto tramite symlink , una minaccia alla sicurezza che questa patch dovrebbe risolvere?

Esistono altri modi per utilizzare modman con i file modello dopo questa patch? (Conosco l'opzione "versione patchata di Mage / Core / Block / Template.php" menzionata dal README di modman, ma l'applicazione di patch a un file core sembra pericolosa.)

Ecco alcuni chiarimenti su questa modifica:

Per prima cosa leggi questa spiegazione di Peter O'Callaghan che ti darà una grande comprensione: https://peterocallaghan.co.uk/2017/06/appsec-1281-dangerous-symlinks/

Un'altra lettura interessante è questo post di Max Chadwick https://maxchadwick.xyz/blog/what-allow-symlink-actually-does

Questa modifica riguarda davvero la chiamata di contenuti caricabili (come le immagini) tramite le direttive del modello.

Il problema relativo ai collegamenti simbolici è sfruttabile solo con l'accesso dell'amministratore e Magento ha aggiunto anche un po 'più di protezione ai caricamenti di immagini.

Si noti che sono alcune protezioni contro il modo noto di sfruttarlo oltre all'impostazione stessa.

Quindi, se capisci il rischio, puoi lasciare abilitati i collegamenti simbolici.

Se è necessario abilitarli per una nuova installazione, è possibile eseguire:

UPDATE core_config_data SET value = 1 WHERE path = "dev/template/allow_symlink";

Il problema non sono i link simbolici, il problema sono i percorsi che raggiungono livelli come ../../../../../media/tmp/hahaha.png. Se sbaglio su questo, per favore illuminami. La "correzione" era intitolata "Consenti collegamenti simbolici" e abilitando ciò si disabilita il controllo implementato utilizzando realpath(). A mio avviso, una soluzione altrettanto sicura, più performante e ancora compatibile con i collegamenti simbolici consiste nell'utilizzare strpos($path, '..')e / o verificare che realpath()corrisponda a determinate directory rischiose come mediae var. Se implementato in questo modo, non dovrebbe essere configurabile, potrebbe essere sempre abilitato e comunque non distruggere migliaia di negozi.

Indipendentemente da ciò, l'utente del server Web non dovrebbe avere accesso alla scrittura di file nelle directory del codice sorgente (come Magento Connect fa ...), quindi questo è un altro modo per impedire che codice dannoso venga scritto da qualche parte ed eseguito come modello di blocco.

Quindi, questo attacco ai link simbolici è solo indirizzato erroneamente ed esiste una soluzione migliore. In effetti, ne ho fornito uno più di un anno fa e c'è anche un link ad esso nel modman github README.

Se nel file extra del tuo compositore imposti magento-deploystrategy per copiare i tuoi file verranno copiati dalla cartella del fornitore piuttosto che da Symlink.

    "extra":{
        "magento-root-dir":"./",
        "magento-deploystrategy":"copy",
        "magento-force": true
    }

È quindi possibile modificare core_config_data per impostare il valore di dev / template / allow_symlink su 0

Risorsa Per Informazioni

Esistono altri modi per utilizzare modman con i file modello dopo questa patch?

È possibile ignorare le modifiche SUPEE-9767 in diversi modi, vedere:

Come abilitare i collegamenti simbolici dopo l'installazione di SUPEE-9767 V2?