Autovm Güvenlik Açığı

Merhabalar,

18.04.2022 tarihinde 2 firmanın yaşamış olduğu talihsizlik üzerine ve bana atılan pm'ler üzerine bir açıklama yapma gereği duydum.

2 firmaya da geçmiş olsun, altta yazacaklarımı bu firmaların üstüne alınmamasını rica ediyorum.

AutoVM açık kaynak kodlu bir yazılımdır. Bu yazılım üzerinde geliştirmeler yaptık ve satışa sunduk.

Bu gibi üzücü durumlar maalesef çok hızlı yayılıyor ve komplo teorileri üretilmeye başlanıyor.

https://nsfocusglobal.com/yii2-deser...tion-solution/

Yukarıda paylaşmış olduğum linkteki framework açığı, veri tabanında sorgunun önüne geçme açığıdır. Framework dataları unserialize yaparak işliyor. Yani SSH Üzerinden herhangi bir komut çalıştırma veya ssh üzerinden herhangi bir dosya oluşturma gibi bir açık söz konusu değildir.
Kötü amaçlı kullanıcının max yapabileceği bu sorgunun önüne geçip; ekleme, güncelleme veya veri tabanından veri silme işlemi yaparken amacından saptırma işlemi yapmak. (Benim böyle bir framework açığından bugün haberim oldu. Detaylı bir araştırma yaptım. Söyleyebileceklerim bu kadar.)

Yani olabilecek senaryolar; 1 tane kullanıcı silinecekken tüm kullanıcıları silme, 1 tane yerde düzenleme yapılacekken tüm yerde düzenleme yapma. ( Buradaki yapılan düzenleme sadece veri tabanı içindir. Bunun haricinde python çalıştırıp silme işlemi yapma gibi bir senaryo söz konusu değildir. Veritabanından düzenlenen veya silinen işlemler Fiziksel sunucuda herhangi bir işlem yaptırmaz.) Detaylı bir araştırma yapılırsa veri tabanı sorunu olduğunu herkes görebilir.

Firmanın yaşadığı talihsiz sorun Vcenter(Vmware) kaynaklı bir açıktan meydana gelmektedir. Bu açıktan AutoVM kullanmayan bir çok firma da nasibini almıştır.

Database sorgularının önüne geçmek için yii framework'ünün son versiyonunu yüklemenizi öneririm.

Tekrardan geçmiş olsun.

Şunu da eklemek istiyorum; bunu bir linç kampanyasına dönüştürüp kendi ürünlerinin tanıtımını yapan ve mağdurların, mağduriyetinden yararlanıp konudan sapanlar için;

Alın tüm müşteriler sizin olsun. Sizin seviyenize inmeyeceğim.

Framework'ün açığı olan veri tabanı unserialize açığının önüne geçmeleri için aşağıya döküman paylaşıyorum.

AutoVM kullanan herkes aşağıdaki adımları uygulayabilir.

composer.json dosyasını aşağıdaki gibi

{
    "name": "yiisoft/yii2-app-basic",
    "description": "Yii 2 Basic Project Template",
    "keywords": ["yii2", "framework", "basic", "project template"],
    "homepage": "http://www.yiiframework.com/",
    "type": "project",
    "license": "BSD-3-Clause",
    "support": {
        "issues": "https://github.com/yiisoft/yii2/issues?state=open",
        "forum": "http://www.yiiframework.com/forum/",
        "wiki": "http://www.yiiframework.com/wiki/",
        "irc": "irc://irc.freenode.net/yii",
        "source": "https://github.com/yiisoft/yii2"
    },
    "minimum-stability": "stable",
    "require": {
        "php": ">=5.4.0",
        "yiisoft/yii2": "~2.0.16",
        "yiisoft/yii2-swiftmailer": "~2.0.0 || ~2.1.0",
        "yiisoft/yii2-swiftmailer": "~2.0.0 || ~2.1.0",
        "sinergi/browser-detector": "dev-master",
        "kartik-v/yii2-grid": "^3.3@dev",
        "yiisoft/yii2-bootstrap": "~2.0.6",
        "rmrevin/yii2-fontawesome": "~3.5"
    },
    "config": {
        "process-timeout": 1800,
        "fxp-asset": {
            "enabled": false
        },
        "allow-plugins": {
            "yiisoft/yii2-composer": true
        }
    },
    "scripts": {
        "post-install-cmd": [
            "yii\\composer\\Installer::postInstall"
        ],
        "post-create-project-cmd": [
            "yii\\composer\\Installer::postCreateProject",
            "yii\\composer\\Installer::postInstall"
        ]
    },
    "extra": {
       "yii\\composer\\Installer::postCreateProject": {
                "setPermission": [
                    {
                        "runtime": "0777",
                        "web/assets": "0777",
                        "yii": "0755"
                    }
            ]
        },
        "yii\\composer\\Installer::postInstall": {
                "generateCookieValidationKey": [
                    "config/web.php"
                ]
        }
    },
    "repositories": [
        {
            "type": "composer",
            "url": "https://asset-packagist.org"
        }
    ]
}

gibi değiştirip var olan vendor klasörünü sildikten sonra tekrar composer install yapmaları.

bunu yaptıktan sonra sırası ile

modules-admin-assets-Asset.php
modules-site-assets-Asset.php

dosyalarını açıp

app\assets\FontAwesomeAsset

bulup

rmrevin\yii\fontawesome\CdnProAssetBundle

ile değiştiriniz.

@onatweb; Onatweb in yeni panelini inceledim problem yok aksine gayet başarılı olup autovm i tamamen arkaplana almış. Elinize sağlık.
(sadece türkçe çeviri değil güzel bir sistem getirmişler.) umarım böyle güncel ve güvenli kalırsınız

Merhabalar,
Bu onatweb'inkinde mi geçerli default AutoVM'de de mi geçerli?

Herhangi bir inceleme yapmadım şuanda onatweb tarafında olduğu kesinleşti. Durumu değerlendirdiğimde konuyu güncelleyeceğim.