Форум

[QUOTE] написал:
[QUOTE] написал:
Получают возможно выполнить свой php код.[/QUOTE]
За счёт чего? Уязвимости модуля vote? Или загруженного непотребного файла?[/QUOTE]
Почитайте pdf, тут страницей ранее выкладывали ссылку на него - там все прекрасно расписано.

[QUOTE] написал:
Доброго утра!
У кого-то этой ночью или сегодня, были траблы со с взломом, подобного характера?
У меня тишина пока-что.[/QUOTE]
ну, так всё - день конституции отпраздновали :-) теперь ждем следующих крупных дат :-)

[QUOTE] написал:
[QUOTE] написал:
Я так и не понял, уязвимость только на порталах без обновлений? Т.е. у кого установлены последние обновления, все нона одном сайте последние[/QUOTE]
На одном сайте последние обновления были установлены 14 июня (2 недели назад), сейчас проверил - на модуль vote стоит версия 21.0.100 от 04.03.2022.
В системе обновлений сейчас висит новая версия vote 22.0.0
Эта бяка присутствует в upload (BXTEMP-2022-06-24 изменен 23.06.2022 15:39:38). Наблюдаются проблемы с заказами, обменом с 1С и печатью чеков на кассе (касса не доступна)
Так что Обновления не гарантия[/QUOTE]
а .htaccess есть в /upload?
если да, то указано, что не давать выполнять скрипты?
<IfModule mod_mime.c>
<Files ~ \.(php|php3|php4|php5|php6|phtml|pl|asp|aspx|cgi|dll|exe|shtm|shtml|fcg|fcgi|fpl|asmx|pht|py|psp|rb|var)>
SetHandler text/plain
ForceType text/plain
</Files>
</IfModule>

Это прокатит, если у вас связка nginx+apache

если php-fpm, то прописывать надо в nginx

в какой-то мере помогает избежать выполнения скриптов в /upload/

[QUOTE] написал:
Я так и не понял, уязвимость только на порталах без обновлений? Т.е. у кого установлены последние обновления, все норм?[/QUOTE]
мартовское вроде было обновление это.

причем, битрикс рассылал всем письмо, что нужно обновиться, ибо обнаружена уязвимость бла-бла-бла.

Но, вот выпустить заплатку, видимо, не судьба. А обновиться даже с 19 на последнюю версию - это обновить сервер, если у вас php 7.2 или ниже, накатить siteupdate, обновить кучу модулей. Работа не на один час.

[QUOTE] написал:
[QUOTE] написал:
<?
if ($_SERVER['REQUEST_METHOD'] === 'POST')
{          
   header("Status: 404 Not Found");
   die();
}
require_once($_SERVER["DOCUMENT_ROOT"]."/bitrix/admin/fileman_html_editor_action.php");[/QUOTE]
Спасибо.[/QUOTE]
Только это для файла /bitrix/tools/html_editor_action.php

А для /bitrix/tools/vote/uf.php
<?
if ($_SERVER['REQUEST_METHOD'] === 'POST')
{
header("Status: 404 Not Found");
die();
}
require($_SERVER["DOCUMENT_ROOT"]."/bitrix/modules/vote/tools/uf.php");
?>


Но, как по мне, всё это не панацея, поменял запрос на GET и ломай.
Сейчас просто это помогает, чтобы временно решить проблему , т.к. скрипт для внедрения стандартный и используется одинаково для всех сайтов. потом поднапрягутся ребята, поменяют логику работы и опять будут сломанные сайты.

так что, может быть, лучшим все-таки является вставка die() прямо в начало файлов, а потом уже разбираться что и как можно поправить.

[QUOTE] написал:
Подскажите, в VMBitrix на уровне nginx можно запретить инъекции методом POST сразу для всех /ext_www/ сайтов в уязвимые файлы?
/bitrix/tools/vote/uf.php
/bitrix/tools/html_editor_action.php

Дело в том, что очень много виртуалок vmbitrix, и на каждой достаточное количество сайтов.

Поэтому было бы очень полезным это решение, в какой общий конфигурационный файл niginx в какую секцию что прописать, чтобы применилось сразу для всех сайтов.[/QUOTE]
выше, на 1 странице было решение:

location = /bitrix/tools/vote/uf.php {
       if ($request_method = POST) {
               return 404;
       }
       try_files return @php;
}


смотрите, что у вас в /etc/nginx/sites-available/

и прописываете в *.conf

прописывается в секцию server { }

посмотрите, наверняка у вас там есть уже секции с location

[QUOTE] написал:
Обновить модуль vote до версии выше 21.0.0. В версии 21.0.1 убрали уязвимость, через которую ломают сайты сегодня

[URL=https://bdu.fstec.ru/vul/2022-01141]https://bdu.fstec.ru/vul/2022-01141[/URL]
[URL=https://dev.1c-bitrix.ru/docs/versions.php?lang=ru&module=vote]https://dev.1c-bitrix.ru/docs/versions.php?lang=ru&module=vote[/URL] [/QUOTE]
Ну, вот вариант, что у меня старая версия Битрикс и не получается ее обновить. Тут люди и ищут варианты закрыть дырку, без обновления siteupdate и модуля.

[QUOTE]
3. Лечим задетые файлы. Мы проанализировали список запросов, по которому пытались бить POST-ом:

В файл /bitrix/tools/vote/uf.php после required: [CODE] // После required добавляем:
$request   = \Bitrix\Main\Context::getCurrent()->getRequest();
 if  (  $request  ->isPost()) {
   CHTTP::SetStatus(  "404 Not Found"  );
   @define(  "ERROR_404"  ,  "Y"  );
     die  ();
}  [/CODE] В файл /bitrix/tools/html_editor_action.php после required:
[CODE] // После required добавляем:
$request   = \Bitrix\Main\Context::getCurrent()->getRequest();
 if  (  $request  ->isPost()) {
   CHTTP::SetStatus(  "404 Not Found"  );
   @define(  "ERROR_404"  ,  "Y"  );
     die  ();
}  [/CODE]
(остальное сейчас дополню)[/QUOTE]
Смысла добавлять ПОСЛЕ require нет никакого, весь код уже выполнится.

Поэтому, либо добавлять непосредственно в модуль этот код, либо как я написал чуть выше ПЕРЕД require чистым php

[QUOTE] написал:
[QUOTE] написал:
Заметил, что в логах взлом был с адреса 185.180.199.209, В группе разработчиков в телеге, у кого-то тоже взлом с аналогичного IP
У кого какие адреса использовались для взлома?[/QUOTE]
Тот же IP, думаю все случаи были с него.[/QUOTE]
iptables -A INPUT -s 185.180.199.209  -j DROP

и вас больше не побеспокоят с этого IP :-)

Чуть исправленный вариант для вставки перед require, если я правильно понял идею :-)

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
          header("Status: 404 Not Found");
          die();
}