Важно! Обновление безопасности

2907
Один внимательный человек, имя которого мне, к сожалению, не известно обнаружил уязвимость, позволяющую залить и использовать шелл на сайте.

Детали раскрывать не буду, скажу только что все происходит через добавление статей с сайта.

Чтобы закрыть уязвимость:

1. Скачайте архив
2. Файл из архива замените в папке /filters/f_includes

Основной дистрибутив также обновлен.
Обновляем jQuery до 1.5.2 | При переходе на тему форума попадаем на первую страницу
Комментарии (29)
0 24 июня 2011 в 10:58 -1
В дистрибутиве версии 1.8 тоже всё поправили?
InstantCMS 24 июня 2011 в 11:01 +3
сначала комментируем потом читаем?
0 24 июня 2011 в 11:02 +1
ага))) Извиняюсь)
0 24 июня 2011 в 11:06 0
Оперативно среагировали. Большой +
0 24 июня 2011 в 11:26 +1
Спасибо за доработку! Впереди ещё много работы предстоит ;)
0 24 июня 2011 в 11:17 +4
Всегда пожалуйста. Имя этого человека здесь
<------------------------------------------
Blit 24 июня 2011 в 12:09 -6
Ребята из XAKEPA тут еще могут поработать на славу http://www.xakep.ru/post/52666/default.asp
0 24 июня 2011 в 12:20 +3
видео 2010 года, ты сам его смотрел?
Blit 24 июня 2011 в 12:35 -6
А тебе что не понятно, один вопрос - у тебя букет багов будет
Fuze 24 июня 2011 в 12:55 +2
Это все очень старое и давно пофиксенное, не надо сюда писать весь вывод гугла по соответствующему запросу.
SeaLord 27 июня 2011 в 04:27 0
Любое приложение с "открытым" кодом имеет кучу уязвимости - по своему определению, единственное, что може быть полезным - в случае "коллективного разума" - есть шанс быстро устранить недоработки.

А вообще резонность разработки средств защиты от их стомости и соотношения рисков от потерь.
В природе 60% всех пользователей ПО перепалачивают стомость рисков от угроз вредоносного кода за счет затрат на средства защиты.smileтак что вот так вот.
Эдька 24 июня 2011 в 12:48 +3
респект и уважуха Админу
SeaLord 27 июня 2011 в 04:22 -1
Respect (англ - "Уважение")  
Получается Уважение и Уважуха Админу -)
Блин хоть бы слова благодарности писали по человечески.
Alphaweb 27 июня 2011 в 05:59 +1
SeaLord, "респект и уважуха" в данном случае это нечто вроде крылатой фразы, которая бытует уже несколько лет, а уважение к Админу всегда высказывается по-человечески и неважно какими словами.
SeaLord 27 июня 2011 в 14:48 +1
Ну пусть напишет по человечески - "Хочу выразить особенную благодарность, всем приложившим силы в устранении данной уязвимости".
Другие дети тоже читают и будут также писать!

Наобщался я просто с таким контингентом - голова болеть начинает после третьей надписи в таком стиле...
0 24 июня 2011 в 13:03 +3
противостояние защита - атака, всегда были и будут, собственно я заметил, что при обнаружении чего, сразу выходит обновление безопасности, вот это самый важный фактор. А то что находят, ну так что вы хотите, Лулз вон и ЦРУ и Пентагон вскрывают.
Zau4man 24 июня 2011 в 14:24 +1
Спасибо don4a за найденную уязвимость, спасибо администрации зя быстро выпущенный патч. Обновился.
vgorode 24 июня 2011 в 15:11 +1
Спасибо )))
Крылов Сергей 24 июня 2011 в 15:40 +1
Спасибо за оперативность!
Alphaweb 24 июня 2011 в 15:43 +1
Спасибо! Уже успел переболеть от этого...
0 24 июня 2011 в 17:22 0
кто-то ещё догадался об этой дыре? О_о
Alphaweb 24 июня 2011 в 20:26 0
О ней просто знали и использовали. 3 недели боролся своими силами. Кстати из стандартных средств ничего не помогло. Руками пришлось "драить".
0 24 июня 2011 в 22:57 0
а  написать разрабам, не решились?
Alphaweb 25 июня 2011 в 10:22 +1
Причина и мне самому не была ясна сначала. Да и зачем нагружать разработчиков?
Симптоматика была такой:
1) Сначала пользователи жаловались, что не могут выбрать раздел для размещения статьи.
Я сделал откат. По-началу помогло.
2) Яндекс прислал письмо, что на сайте обнаружен зловредный код. Поставил меня под "жучёк".
Разыскал все внедрения, какие были, но после перепроверки - опять тоже самое.
В webmaster яндекса числились статьи с заразой. Шерстил опять и опять...
Даже базу пришлось всю перебрать докучи. DrWeb и прочие после проверки выдавали ОК, а яндекс
уверял, что статьи с заразой. Платные сервисы при сканировании выдавали подозрения, но за инфу
и помощь требовали от 3.000 до 10.000 рублей - неприемлемо! Взялся сам шерстить код.
Точно сейчас не скажу где и что, но с сотню файлов при синхроне с бекапом самого сайта пришлось
исправить. Активировал на Яндексе перепроверку - через пару дней ответили, что всё отлично. Из угрожающих сайт убрали. Вот как-то так...
Ну а сейчас просто накатил это обновление безопасности плюс мониторю файлы сата на изменения.
Suslik 29 июня 2011 в 08:36 -7
непонятно почему это находится где-то среди блогов а не большими красными буквами на главной странице как обычно в друпале при малейшем xss - получается тут в разделе "скачать" вот уже 5 дней висит дырявая с php инклудом (!) версия ... а ведь через шелл на некоторых хостингах можно и соседние сайты повзламывать :(
InstantCMS 29 июня 2011 в 08:44 +5
вы тоже предпочитаете сначала комментировать, а затем читать пост?
внимательно смотрим последнюю строку
где что дырявое висит 5 дней?
Юрий 29 июня 2011 в 10:09 +2
Чукча не читатель, чукча писатель.
Тихонов 6 июля 2011 в 13:51 0
Спасиб!
Александр 12 июля 2011 в 12:53 0
большое спасибо)))) Вы СУПЕР.