Сегодня мы выпускаем обновления Yii для нескольких последних версий 2.0.x и официальных расширений поддержки нереляционных баз данных для исправления найденных уязвимостей. Патчи исправляют проблему в методах слоя ActiveRecord: findOne()
и findAll()
, которые могут допустить SQL инъекцию, если входящие данные не подготовлены должным образом.
Мы рассматриваем это как уязвимость в Yii потому что документация для этих методов не содержала явного предупреждения о том, что в некоторых случаях передача нефильтрованых пользовательских данных может быть опасной. Мы благодарим Analitic1983 (GitHub) за обнаружение этой уязвимости.
Проблема относится в большей степени не к самому фреймворку, а к документации по использованию данных методов в приложении. Мы обновили документацию и дополнительно привели примеры кода, который может быть опасен. Однако, обновление документации не исправит приложения, в которых разработчики уже используют методы findOne()
и findAll()
небезопасно. Чтобы избежать наихудшего сценария – SQL инъекции, мы также изменили поведение этих методов и добавили принудительную фильтрацию входящих данных, которая ограничивает перечень возможных имён столбцов списком свойств модели ActiveRecord.
Исправление, хоть и убирает подавляющее большинство проблем, не исправляет их все, потому дальше в статье мы детально рассмотрим, какой код уязвим и что нужно сделать, чтобы обезопасить себя.
Перечень уязвимых классов, методов и пакетов
- Методы
yiidbActiveRecord::findOne()
иyiidbActiveRecord::findAll()
в пакетеyiisoft/yii2
, чему присвоен номер уязвимости CVE-2018-7269. Методы допускают SQL инъекцию, если входящие данные недостаточно отфильтрованы. Атакующий может выполнить произвольный SQL запрос или обойти условия фильтрации, установленные на уровне выполняемого запроса. - Методы
yiiredisActiveRecord::findOne()
иyiiredisActiveRecord::findAll()
в пакетеyiisoft/yii2-redis
, чему присвоем номер уязвимости CVE-2018-8073. Методы допускают удалённое выполнение кода на сервере Redis в виде LUA скриптов. Атакующий может выполнять произвольный LUA код и изменять данные на стороне сервера. - Методы
yiielasticsearchActiveRecord::findOne()
иyiielasticsearchActiveRecord::findAll()
в пакетеyiisoft/yii2-elasticsearch
, чему присвоем номер уязвимости CVE-2018-8074. Методы допускают внедрение условий поиска, не предусмотренных разработчиком.
Уязвимо ли моё приложение?
Уязвимость касается всех релизов Yii2 и исправляется в версии 2.0.15. Для версий до 2.0.15 мы релизим два патч-обновления: 2.0.13.2 и 2.0.12.1, который применяют исправление к 2.0.13.1 и 2.0.12 соответственно. Пользователи версии 2.0.14 могут обновиться до версии 2.0.15, так как никаких других изменений в релизе не содержится.
Неуязвимый код
Методы findOne()
и findAll()
принимают один аргумент, который может быть скаляром или массивом. Если код, который вызывает этот метод гарантирует, что переданное значение – скалярно, или что структура передаваемого массива не может быть изменена снаружи — ваше приложение НЕуязвимо. Следующие примеры кода НЕ подвержены данной уязвимости. Примеры вызова findOne()
также валидны и для метода findAll()
.
// yiiwebController гарантирует, что $id – это скаляр
public function actionView($id)
{
$model = Post::findOne($id);
// ...
}
// приведение к числу (int) или строке (string) гарантирует, что массив не может быть передан в метод (буде выброшено исключение о невозможности преобразования массива в скаляр)
$model = Post::findOne((int) Yii::$app->request->get('id'));
// Явное указание имени столбца и передача скаляра или массива как значения не подвержены уязвимости
$model = Post::findOne(['id' => Yii::$app->request->get('id')]);
Уязвимый код
Однако, следующий код – УЯЗВИМ, и атакующий может составить запрос, позволяющий выполнить поиск про произвольному столбцу, или даже SQL инъекцию:
$model = Post::findOne(Yii::$app->request->get('id'));
Данное обновление исправляет возможность внедрения SQL инъекции, но атакующий всё ещё может выполнить поиск по столбцам отличным от первичного ключа, что может нарушить бизнес-логику приложения.
Как получить обновление?
Мы выпускаем обновление безопасности для трёх последних релизов Yii2: 2.0.14, 2.0.13 и 2.0.12. Если вы используете более старую версию фреймворка, вам необходимо обновить Yii хотя бы до ближайшей версии, в которой проблема исправлена.
Если вы используете Yii 2.0.14:
composer require "yiisoft/yii2":"~2.0.15.0"
Если вы используете Yii 2.0.13:
composer require "yiisoft/yii2":"~2.0.13.2"
Если вы используете Yii 2.0.12:
composer require "yiisoft/yii2":"~2.0.12.1"
Если вы используете расширение yii2-redis
:
composer require "yiisoft/yii2-redis":"~2.0.8"
Если вы используете расширение yii2-elasticsearch
:
composer require "yiisoft/yii2-elasticsearch":"~2.0.5"
Кроме обновления Yii, мы также рекомендуем проверить в вашем приложении код, который использует методы findOne()
и findAll()
на предмет возможности поиска по произвольному столбцу. Также напоминаем, что методы where()
and filterWhere()
никогда не экранируют имена столбцов, потому если вам необходимо использовать переменную, полученную от пользователя в виде названия столбца – убедитесь, что вы делаете это безопасно.
Автор: SilverFire