CVE-2020-15227

ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ! Я не несу ответственности за использование этого инструмента в реальной среде, поэтому, пожалуйста, НЕ делайте этого. Эта штука предназначена только для демонстрации и тестирования для системных администраторов.

Этот инструмент проверяет уязвимость в nette/application.

Как исправить уязвимость

Composer

Обновите зависимость до последней версии.

• nette/application >=3.0.6
• nette/application >=2.4.16
• nette/application >=2.3.14
• nette/application >=2.2.10
• nette/nette >= 2.1.13
• nette/nette >= 2.0.19

Добавьте новую зависимость roave/security-advisories в проект.

Сторонние инструменты для исправления

• PHP-инструмент от @dg
• Bash-инструмент от @spaze

Описание

Список проверенных уязвимостей:

• file_put_contents
• Nette\Utils\FileSystem::write
• shell_exec

Требования

• Python 3.x

Использование

git clone https://github.com/filipsedivy/CVE-2020-15227
cd CVE-2020-15227
python main.py https://example.com

ИЛИ

wget https://github.com/filipsedivy/CVE-2020-15227/archive/master.zip
unzip master.zip
cd CVE-2020-15227-master
python main.py https://example.com

API

Пример

from CVE_2020_1522 import CVE_2020_15227

# Disable verbose
cve = CVE_2020_15227(verbose=False)

# Response True or False
result = cve.run("https://example.com")

if result is True:
    print('Fuck! Confirmed vulnerability! :-( Need update composer')
else:
    print('Good night! Everything is okay. :)')

Связанные ссылки

• cve.mitre.org - CVE-2020-15227
• blog.nette.org - CVE-2020–15227: Potential Remote Code Execution Vulnerability
• michalspacek.com - Don't let security bugs catch you off guard
• blog.nette.org - CVE-2020–15227: Chyba potenciálně umožňující vzdálené spuštění kódu
• michalspacek.com - Ať vás bezpečnostní chyby nenachytají na švestkách
• phpfashion.com - Objevena první zranitelnost v Nette, aktualizujte!