Новая критическая уязвимость «1С-Битрикс: Управление сайтом»
13 сентября 2023 нашли новую серьезную уязвимость в «1С-Битрикс: Управление сайтом». Странно, но за три недели еще ни разу не видел эту новость ни на одном из технических и новостных ресурсов. Заполню этот пробел.
280 показов
502 открытия
Новая уязвимость 1С-Битрикс позволяет злоумышленникам подсунуть свои команды на сервер, с помощью которых уже можно делать что угодно на сервере: получать доступ к файлам, подсовывать свои скрипты, получать доступ к мощностям сервера и доступ к сети.Официальный отчет об уязвимости есть на сайте ФСТЭК РФ: ссылка.
Примечание: сайт ФСТЭК работает на национальном SSL-сертификате, который доступен только в Яндекс Браузере, в других браузерах сайт открывается с сообщением о недействительном сертификате.
Проблемный код 1С-Битрикс находится в модуле «Сайты 24», который редко используется, но по умолчанию включен во всех редакциях 1С-Битрикса, начиная с самой простой – «Старт» и заканчивая максимальной – «Энтерпрайз».
Битрикс быстро отреагировал на проблему, исправил код и уже на следующий день(14 сентября) выпустил обновления, которые закрывают уязвимость и рекомендует обновиться немедленно. Официальный сайт с описанием обновления: ссылка. Чтобы скачать и установить обновление, должна быть активная лицензия Битрикс. Но не на всех проектах ежегодно продляют лицензию, поскольку сайт и без нее работает, только перестает получать обновления. Поэтому ниже описание, как проще всего закрыть уязвимость без обновлений.
Как уже писал, уязвимость находится в модуле «Сайты 24» – это конструктор страниц. Я на своей практике не видел ни одного сайта, где бы этот функционал использовался. Поэтому рекомендую просто удалить модуль. При чем отключение и удаление модуля через админку не защищает от уязвимости – остаются файлы модуля, через которые можно эксплуатировать уязвимость. Для полного закрытия «дыры» нужно отключить модуль в админке и удалить всю его папку с сервера/хостинга. Папка модуля находится тут: /bitrix/modules/landing/. Нужно удалять всю директорию landing и все вложенные в нее файлы и папки.
В завершение хочу добавить, что детально уязвимость мы с командой не изучали, поскольку не используем этот модуль в своих и клиентских проектах. Поэтому если у кого-то есть дополнительная информация по теме, вопросы или просто нужна консультация – пишите мне в личку: Евгений Ипатов или в комменты телеграм-канала «БАГодельня», где так же подсвечивал эту тему.
Возможно ли временно отключить модуль 1c bitrix?
Добрый день! Появилась необходимость временно отключить модуль на сайте 1с bitrix. Вариант удаления не подходит, т.к. удалится всё содержимое модуля. Подскажите кто-нибудь сталкивался с подобной задачей и варианты что можно сделать?
- Вопрос задан более года назад
- 783 просмотра
Комментировать
Решения вопроса 1
при нажатии удалить, он предложит сохранить (не удалять данные из базы)
https://disk.yandex.ru/i/1iygIf8h2LSc6Q
Ответ написан более года назад
Установить\удалить модуль CRM
Администратор сервиса Битрикс24 (коробочная версия)
Установка модуля CRM
Если модуль CRM по каким-либо причинам отсутствует на вашем портале, то установите его на странице административного раздела Настройки > Настройки продукта > Модули .
На главной области страницы откроется таблица с перечисленными модулями корпоративного портала, нажмите Установить напротив модуля CRM:
Откроется страница с настройками установки модуля. При отмеченной опции Скопировать публичные файлы и шаблон для сайта система при установке модуля будет копировать необходимые файлы модуля CRM заново, если при этом какие-либо файлы уже имеются, то они не будут перезаписываться, а останутся неизменными.
Если вы хотите чтобы при копировании имеющиеся файлы заменялись новыми, то поставьте галочку в опции Переписывать существующие файлы.
Примечание: отмеченная опция Переписывать существующие файлы удалит при переустановке модуля CRM все ранее имеющиеся страницы, но оставит неизменными внесенные данные (контакты, компании, лиды, сделки).
После того, как все параметры настроены, нажмите кнопку Установить модуль.
Если установка прошла успешно, то на появившейся странице вы будете оповещены об этом соответствующим сообщением.
Нажмите кнопку Вернуться в список чтобы перейти на страницу административного раздела со списком модулей.
Удаление модуля CRM
Перейдите на страницу административного раздела со списком модулей. Найдите в таблице строку модуля CRM и нажмите кнопку Удалить. Появится запрос подтверждения на удаление с настройками процесса удаления. Снимите галочку у опции Сохранить таблицы если не хотите сохранять имеющиеся в системе CRM данные, такие как списки контактов, компаний, лидов и сделок.
Для удаления модуля нажмите кнопку Удалить модуль.
Если удаление прошло успешно, то на появившейся странице вы будете оповещены об этом соответствующим сообщением.
Нажмите кнопку Вернуться в список чтобы перейти на страницу административного раздела со списком модулей.
Как в Битрикс временно отключить сторонний модуль?
Здравствуйте! Помогите разобраться, пожалуйста. Как временно отключить конкретный сторонний модуль который находится в списке «Marketplace» -> «Установленные решения»?
- Вопрос задан 19 дек. 2022
- 502 просмотра
2 комментария
Простой 2 комментария
Нажимаете удалить, после модуль удалится, но в списке останется. Можно будет либо установить или стереть полностью.