🛡️ Fix für die „Schwachstelle“ CVE-2025-67887/86 im 1C-Bitrix Translate-Modul

1C-Bitrix Sicherheit Das Informationssicherheits- und Incident-Monitoring-Zentrum von «1C-Bitrix» informiert

In Telegram-Kanälen tauchten Informationen über das Vorhandensein einer Schwachstelle im Modul „Übersetzung“ auf, die angeblich ein unbefugtes Hochladen von Archiven ohne Sicherheitsprüfung ermöglicht.

Wir haben umgehend Prüfungen durchgeführt und bestätigen das Vorhandensein einer Schwachstelle im Produkt NICHT. Das Hochladen von Dateien in das Modul „Übersetzungen“ ist nur Administratoren möglich. Die in der Meldung genannten erforderlichen Rechte entsprechen den Administratorrechten. Der Administrator ist berechtigt, beliebigen Code im Projekt zu ändern und auszuführen.

Somit liegt keine Schwachstelle vor.
https://t.me/bitrixkiberbez/76

Im Fix ist ein rekursiver Directory-Sanitizer implementiert, der nach dem Entpacken des Archivs alle Variationen von .htaccess-Dateien erkennt und entfernt.

🔧 Was der Code tut

/**
 * Removes any variation of .htaccess files from the extracted directory.
 * Covers case sensitivity (.HTACCESS) and trailing dots/spaces.
 * By CyberOK | https://www.cyberok.ru/
 */
private function sanitizeDirectory(Translate\IO\Directory $dir): void
{
    foreach ($dir->getChildren() as $entry) {
        if ($entry instanceof Main\IO\Directory) {
            $this->sanitizeDirectory(new Translate\IO\Directory($entry->getPhysicalPath()));
        } else {
            if (preg_match('/^\.htaccess[.\s]*$/i', $entry->getName())) {
                $entry->delete();
            }
        }
    }
}

CVE-2025-67887

Beliebteste

📁 Zu ersetzender Pfad