CVE-2020-15227

HAFTUNGSAUSSCHLUSS! Ich übernehme keine Verantwortung für die Nutzung in einer Live-Umgebung, also tun Sie es NICHT. Dieses Ding dient nur zur Demonstration und zum Testen für Systemadministratoren.

Dieses Tool testet auf Sicherheitslücke in nette/application.

So beheben Sie die Sicherheitslücke

Composer

Aktualisieren Sie die Abhängigkeit auf die neueste Version.

• nette/application >=3.0.6
• nette/application >=2.4.16
• nette/application >=2.3.14
• nette/application >=2.2.10
• nette/nette >= 2.1.13
• nette/nette >= 2.0.19

Fügen Sie eine neue Abhängigkeit roave/security-advisories zum Projekt hinzu.

Drittanbieter-Patch-Tools

• PHP-Tool von @dg
• Bash-Tool von @spaze

Beschreibung

Liste der getesteten Sicherheitslücken:

• file_put_contents
• Nette\Utils\FileSystem::write
• shell_exec

Voraussetzungen

• Python 3.x

Verwendung

git clone https://github.com/filipsedivy/CVE-2020-15227
cd CVE-2020-15227
python main.py https://example.com

ODER

wget https://github.com/filipsedivy/CVE-2020-15227/archive/master.zip
unzip master.zip
cd CVE-2020-15227-master
python main.py https://example.com

API

Beispiel

from CVE_2020_1522 import CVE_2020_15227

# Disable verbose
cve = CVE_2020_15227(verbose=False)

# Response True or False
result = cve.run("https://example.com")

if result is True:
    print('Fuck! Confirmed vulnerability! :-( Need update composer')
else:
    print('Good night! Everything is okay. :)')

Verwandte Links

• cve.mitre.org - CVE-2020-15227
• blog.nette.org - CVE-2020–15227: Potential Remote Code Execution Vulnerability
• michalspacek.com - Don't let security bugs catch you off guard
• blog.nette.org - CVE-2020–15227: Chyba potenciálně umožňující vzdálené spuštění kódu
• michalspacek.com - Ať vás bezpečnostní chyby nenachytají na švestkách
• phpfashion.com - Objevena první zranitelnost v Nette, aktualizujte!