Сегодня мы выпускаем обновления Yii для нескольких последних версий 2.0.x и официальных расширений поддержки нереляционных баз данных для исправления найденных уязвимостей. Патчи исправляют проблему в методах слоя ActiveRecord: findOne() и findAll(), которые могут допустить SQL инъекцию, если входящие данные не подготовлены должным образом.

Мы рассматриваем это как уязвимость в Yii потому что документация для этих методов не содержала явного предупреждения о том, что в некоторых случаях передача нефильтрованых пользовательских данных может быть опасной. Мы благодарим Analitic1983 (Habr, GitHub) за обнаружение этой уязвимости.

Проблема относится в большей степени не к самому фреймворку, а к документации по использованию данных методов в приложении. Мы обновили документацию и дополнительно привели примеры кода, который может быть опасен. Однако, обновление документации не исправит приложения, в которых разработчики уже используют методы findOne() и findAll() небезопасно. Чтобы избежать наихудшего сценария – SQL инъекции, мы также изменили поведение этих методов и добавили принудительную фильтрацию входящих данных, которая ограничивает перечень возможных имён столбцов списком свойств модели ActiveRecord.

Исправление, хоть и убирает подавляющее большинство проблем, не исправляет их все, потому дальше в статье мы детально рассмотрим, какой код уязвим и что нужно сделать, чтобы обезопасить себя.

Команда Yii рада представить новую версию PHP фреймворка: Yii 2.0.14. В неё вошло более сотни улучшений и исправлений, включая исправления безопасности.

В релиз вошли несколько изменений, которые могут повлиять на уже работающие приложения. Эти изменения описаны в UPGRADE.md.

Спасибо сообществу Yii за помощь в выпуске этого обновления!

За процессом разработки можно следить, поставив звёздочку на GitHub. У нас есть много сообществ Yii, где вы можете попросить помощи или поделится своим опытом — мы и тысячи других пользователей Yii будем рады вашему участию.

Этот релиз знаменателен тем, что становится последним релизом в версии Yii 2.0, содержащим улучшения. Это значит, что мы сконцентрируем силы на разработке версии 2.1.x, в которую войдёт много новых улучшений, которые невозможно включить в ветку 2.0.х из-за ограничений по сохранению обратной совместимости. Несмотря на это, ветка 2.0.х будет получать исправления и улучшения безопасности. Сроки окончания поддержки 2.0.х будут объявлены вместе с релизом версии 2.1.

Убедитесь что версия фреймворка в composer.json прописана верно (~2.0.14) и вы не обновитесь на 2.1 случайно, когда он релизнется.

Ниже мы рассмотрим самые интересные улучшения и исправления релиза. Полный список можно, как обычно, найти в CHANGELOG.

В последние дни было зарегистрировано три уязвимости, касающиеся PHPMailer и SwiftMailer:

• 25.12.2016, CVE-2016-10033 Уязвимость удалённого выполнения кода через PHPMailer
• 27.12.2016, CVE-2016-10045 Уязвимость удалённого выполнения кода через PHPMailer
• 28.12.2016, CVE-2016-10074 Уязвимость удалённого выполнения кода через SwiftMailer

Все три отчёта об уязвимостях упоминают фреймворк Yii наряду с другими PHP фреймворками как уязвимый, потому цель этой статьи — прояснить, кто именно подвержен этой уязвимости и что нужно сделать для того, чтобы обезопасить себя.

• webmoney на украинском домене webmoney.ua
• по IP адресам: 77.246.100.42, 94.75.214.18, 88.198.43.118, 89.108.126.29, 217.23.144.177
• xandr0s: для работы Keeper добавить в hosts
  добавить в hosts

  212.158.173.184 agent.webmoney.ru
  91.200.28.184 agent.webmoney.ru
  91.227.52.184 agent.webmoney.ru
  212.118.48.184 agent.webmoney.ru
  91.200.28.203 antivirus.webmoney.ru
  212.118.48.9 banking.webmoney.ru
  212.158.173.9 banking.webmoney.ru
  91.227.52.9 banking.webmoney.ru
  212.118.48.19 cert.webmoney.ru
  212.158.173.19 cert.webmoney.ru
  212.118.48.224 certsrv.webmoney.ru
  212.118.48.176 chat.webmoney.ru
  91.227.52.45 check.webmoney.ru
  91.200.28.45 check.webmoney.ru
  212.118.48.116 cs.webmoney.ru
  195.161.113.190 domains.webmoney.ru
  217.23.144.179 download.webmoney.ru
  77.246.100.44 download.webmoney.ru
  88.198.43.118 download.webmoney.ru
  89.108.126.82 download.webmoney.ru
  94.75.214.64 download.webmoney.ru
  212.118.48.203 education.webmoney.ru
  91.200.28.14 events.webmoney.ru
  91.227.52.14 events.webmoney.ru
  212.118.48.14 events.webmoney.ru
  212.158.173.14 events.webmoney.ru
  212.118.48.171 files.webmoney.ru
  212.118.48.142 forum.webmoney.ru
  91.200.28.123 m.webmoney.ru
  91.227.52.123 m.webmoney.ru
  212.118.48.26 mail.webmoney.ru
  91.200.28.123 mobile.webmoney.ru
  91.227.52.123 mobile.webmoney.ru
  91.200.28.194 my.webmoney.ru
  91.227.52.194 my.webmoney.ru
  212.118.48.194 my.webmoney.ru
  212.158.173.194 my.webmoney.ru
  91.227.52.254 pics.webmoney.ru
  212.118.48.163 ps.webmoney.ru
  91.232.115.32 reports.webmoney.ru
  91.200.28.36 search.webmoney.ru
  212.118.48.181 security.webmoney.ru
  212.158.173.181 security.webmoney.ru
  91.227.52.181 security.webmoney.ru
  91.227.52.111 sms.webmoney.ru
  212.118.48.26 smtp.webmoney.ru
  212.118.48.150 start.webmoney.ru
  212.158.173.150 start.webmoney.ru
  91.227.52.22 start.webmoney.ru
  91.200.28.50 stats.webmoney.ru
  91.227.52.50 stats.webmoney.ru
  91.227.52.14 support.webmoney.ru
  91.200.28.14 support.webmoney.ru
  91.200.28.12 video.webmoney.ru
  91.227.52.12 video.webmoney.ru
  212.118.48.42 wap.webmoney.ru
  91.227.52.227 wiki.webmoney.ru
  94.75.214.18 www.webmoney.ru
  217.23.144.177 www.webmoney.ru
  77.246.100.42 www.webmoney.ru
  88.198.43.118 www.webmoney.ru
  89.108.126.29 www.webmoney.ru
  89.108.126.29 www-2.webmoney.ru
  212.118.48.185 wmsc1.webmoney.ru
  212.118.48.6 wmsc1.webmoney.ru
  212.118.48.177 wmsc1.webmoney.ru
  212.118.48.179 wmsc1.webmoney.ru
  212.118.48.134 wmsc1.webmoney.ru
  212.118.48.178 wmsc1.webmoney.ru
  212.118.48.5 wmsc1.webmoney.ru
  212.118.48.7 wmsc1.webmoney.ru
  212.118.48.131 wmsc1.webmoney.ru
  212.118.48.138 wmsc1.webmoney.ru
  212.118.48.132 wmsc1.webmoney.ru
  212.118.48.176 wmsc1.webmoney.ru
  212.118.48.135 wmsc1.webmoney.ru
  212.118.48.180 wmsc1.webmoney.ru
  212.118.48.133 wmsc1.webmoney.ru
  212.118.48.129 wmsc1.webmoney.ru
  212.118.48.139 wmsc1.webmoney.ru
  212.118.48.187 wmsc1.webmoney.ru
  212.118.48.136 wmsc1.webmoney.ru
  212.118.48.186 wmsc1.webmoney.ru
  212.158.173.139 wmsc2.webmoney.ru
  212.158.173.136 wmsc2.webmoney.ru
  212.158.173.179 wmsc2.webmoney.ru
  212.158.173.5 wmsc2.webmoney.ru
  212.158.173.6 wmsc2.webmoney.ru
  212.158.173.129 wmsc2.webmoney.ru
  212.158.173.180 wmsc2.webmoney.ru
  212.158.173.135 wmsc2.webmoney.ru
  212.158.173.138 wmsc2.webmoney.ru
  212.158.173.131 wmsc2.webmoney.ru
  212.158.173.134 wmsc2.webmoney.ru
  212.158.173.133 wmsc2.webmoney.ru
  212.158.173.132 wmsc2.webmoney.ru
  212.158.173.7 wmsc2.webmoney.ru
  212.158.173.185 wmsc2.webmoney.ru
  212.158.173.178 wmsc2.webmoney.ru
  212.158.173.176 wmsc2.webmoney.ru
  212.158.173.177 wmsc2.webmoney.ru
  91.227.52.145 wmsc3.webmoney.ru
  91.227.52.146 wmsc3.webmoney.ru
  91.227.52.133 wmsc3.webmoney.ru
  91.227.52.140 wmsc3.webmoney.ru
  91.227.52.129 wmsc3.webmoney.ru
  91.227.52.138 wmsc3.webmoney.ru
  91.227.52.141 wmsc3.webmoney.ru
  91.227.52.135 wmsc3.webmoney.ru
  91.227.52.136 wmsc3.webmoney.ru
  91.227.52.132 wmsc3.webmoney.ru
  91.227.52.139 wmsc3.webmoney.ru
  91.227.52.134 wmsc3.webmoney.ru
  91.227.52.142 wmsc3.webmoney.ru
  91.227.52.143 wmsc3.webmoney.ru
  91.227.52.144 wmsc3.webmoney.ru
  91.227.52.131 wmsc3.webmoney.ru
  91.200.28.142 wmsc4.webmoney.ru
  91.200.28.146 wmsc4.webmoney.ru
  91.200.28.135 wmsc4.webmoney.ru
  91.227.52.148 wmsc4.webmoney.ru
  91.200.28.139 wmsc4.webmoney.ru
  91.200.28.129 wmsc4.webmoney.ru
  91.200.28.148 wmsc4.webmoney.ru
  91.200.28.132 wmsc4.webmoney.ru
  91.200.28.143 wmsc4.webmoney.ru
  91.200.28.134 wmsc4.webmoney.ru
  91.200.28.130 wmsc4.webmoney.ru
  91.200.28.141 wmsc4.webmoney.ru
  91.200.28.144 wmsc4.webmoney.ru
  91.200.28.147 wmsc4.webmoney.ru
  91.200.28.131 wmsc4.webmoney.ru
  91.200.28.136 wmsc4.webmoney.ru
  91.200.28.140 wmsc4.webmoney.ru
  91.200.28.138 wmsc4.webmoney.ru
  91.227.52.147 wmsc4.webmoney.ru
  91.200.28.133 wmsc4.webmoney.ru
  91.200.28.145 wmsc4.webmoney.ru
  216.137.61.158 dl.webmoney.ru
  91.227.52.24 keeper3.webmoney.ru
  212.118.48.151 keeper3.webmoney.ru
  91.227.52.24 keeper.webmoney.ru
  212.118.48.151 keeper.webmoney.ru

1. Выучить новый язык программирования