CALL MY MAYBE: проверяем 1С на возможность атаки Mag1Cal

В конфигурациях 1С общие модули могут быть доступны для вызова с клиентской стороны. Особого внимания требуют модули с установленным флагом «Вызов сервера»: доступные в них методы формируют дополнительную поверхность атаки и должны отдельно проверяться при аудите безопасности.

Для исследования этого вектора атаки мы сделали утилиту CALL MY MAYBE.

Она предназначена для проверки собственных систем 1С и помогает понять, какие серверные методы доступны для вызова и что через них фактически можно выполнить.

Что умеет CALL MY MAYBE

Утилита позволяет:

• •получить список доступных общих модулей с флагом «Вызов сервера»;
• •получить список функций, доступных внутри найденного общего модуля;
• •выполнить вызов доступной функции и проверить её фактическое поведение.

Таким образом, можно пройти путь от обнаружения доступного общего модуля до проверки конкретного метода.

Зачем это проверять

Сам по себе флаг «Вызов сервера» не означает наличие уязвимости.

Проблема возникает, когда через доступные методы можно выполнить действия, которые разработчик не предполагал предоставлять пользователю: получить чувствительные данные, выполнить привилегированную операцию или обратиться к функциональности без достаточной проверки прав и входных параметров.

Именно поэтому при аудите недостаточно просто найти общие модули с соответствующим флагом. Нужно понимать:

1. •какие модули реально доступны;
2. •какие методы в них можно вызвать;
3. •что происходит при вызове этих методов.

CALL MY MAYBE позволяет выполнить такую проверку вручную и оценить, присутствует ли в конкретной системе поверхность, потенциально пригодная для сценария Mag1Call.

Как использовать утилиту

Используйте CALL MY MAYBE только для систем, на тестирование которых у вас есть разрешение.

В первую очередь имеет смысл проверить:

• •собственные конфигурации;
• •доработанные типовые конфигурации;
• •решения, разработанные подрядчиками;
• •системы перед вводом в эксплуатацию;
• •существующие продуктивные базы в рамках согласованного аудита безопасности.

Если утилита обнаружила доступные серверные методы, это ещё не означает наличие уязвимости. Найденные функции необходимо анализировать с учётом их назначения, проверок прав, входных параметров и выполняемых на сервере действий.

Как получить CALL MY MAYBE

Мы распространяем утилиту CALL MY MAYBE для специалистов, которые хотят проверить безопасность своих систем 1С.

Чтобы получить утилиту, заполните форму обратной связи ниже.

После этого мы отправим вам CALL MY MAYBE и информацию, необходимую для начала проверки.