CVE-2020-15227

DISCLAIMER! Non mi assumo alcuna responsabilità per l'uso in ambienti reali, quindi per favore NON fatelo. Questo strumento serve solo a scopo dimostrativo e per testare le cose per gli amministratori di sistema

Questo strumento verifica la vulnerabilità in nette/application.

Come correggere la vulnerabilità

Composer

Aggiornare la dipendenza all'ultima versione.

• nette/application >=3.0.6
• nette/application >=2.4.16
• nette/application >=2.3.14
• nette/application >=2.2.10
• nette/nette >= 2.1.13
• nette/nette >= 2.0.19

Aggiungere una nuova dipendenza roave/security-advisories al progetto

Strumenti di patch di terze parti

• Strumento PHP di @dg
• Strumento Bash di @spaze

Descrizione

Elenco delle vulnerabilità testate:

• file_put_contents
• Nette\Utils\FileSystem::write
• shell_exec

Requisiti

• Python 3.x

Utilizzo

git clone https://github.com/filipsedivy/CVE-2020-15227
cd CVE-2020-15227
python main.py https://example.com

OPPURE

wget https://github.com/filipsedivy/CVE-2020-15227/archive/master.zip
unzip master.zip
cd CVE-2020-15227-master
python main.py https://example.com

API

Esempio

from CVE_2020_1522 import CVE_2020_15227

# Disable verbose
cve = CVE_2020_15227(verbose=False)

# Response True or False
result = cve.run("https://example.com")

if result is True:
    print('Fuck! Confirmed vulnerability! :-( Need update composer')
else:
    print('Good night! Everything is okay. :)')

Collegamenti correlati

• cve.mitre.org - CVE-2020-15227
• blog.nette.org - CVE-2020–15227: Potential Remote Code Execution Vulnerability
• michalspacek.com - Don't let security bugs catch you off guard
• blog.nette.org - CVE-2020–15227: Chyba potenciálně umožňující vzdálené spuštění kódu
• michalspacek.com - Ať vás bezpečnostní chyby nenachytají na švestkách
• phpfashion.com - Objevena první zranitelnost v Nette, aktualizujte!