Как устранить уязвимость CVE-2016-9838 в Joomla 2.5.28?

  • 25 Ответов
  • 1205 Просмотров

0 Пользователей и 1 Гость просматривают эту тему.

*

Оффлайн Elimelech

Недавно нашли серьзную уязвимость CVE-2016-9838 и высокую степень важности - https://developer.joomla.org/security-centre.html

Что делать тем у кого стоит Joomla 2.5.х… не имею возможности обновиться до Joomla 3….  ?

*

Оффлайн voland

  • ********
  • 9335
  • [+]520 / [-]101
  • СКАЙП утерян! Пишите в телеграм @volandku
    • Просмотр профиля
    • webstudio.pro
В теме про релиз 3.6.5 выкладывали ссылку на патч


*

Оффлайн Elimelech

http://joomlaforum.ru/index.php/topic,333678.msg1682620.html#msg1682620

Поиск творит чудеса

насколько можно доверять этому патчу?

*

Оффлайн draff

  • *******
  • 2739
  • [+]174 / [-]5
  • step by step
    • Просмотр профиля
А юзеры есть на сайте ? Если нет юзеров, и регистрация запрещена, то закрыть полностью com_user
в файле /components/com_users/user.php
Код
defined('_JEXEC') or die;
// Access check.
if (!JFactory::getUser()->authorise('core.manage', 'com_users')) {
    return JError::raiseWarning(404, JText::_('JERROR_ALERTNOAUTHOR'));
}
domain/?option=com_users&view=login or view=register получает
Цитировать
Для просмотра этой информации необходимо пройти авторизацию

*

Оффлайн dmitry_stas

на всякий случай напишу и в этой теме. CVE-2016-9838 позволяет администратору получить права суперадминистратора. все. с фронта ей воспользоваться нельзя. поэтому закрыть регистрацию - это конечно кардинально, но конкретно для данного случая - совершенно излишне
Тут дарят бакс просто за регистрацию! Успей получить!
Все советы на форуме раздаю бесплатно, то есть даром. Индивидуально бесплатно консультирую только по вопросам стоимости индивидуальных консультаций

*

Оффлайн Den-V

Приветствую. В общем, решил загрузить вышеозначенный патч для Joomla 2.5.28. Загрузка прошла нормально. После загрузки в панели выдалось сообщение
Цитировать
Checksum for existing session.php matches patch file - not overwriting
          Checksum for existing debug.php matches patch file - not overwriting
          Установка компонента успешно завершена.
Думаю, сразу проверять создание и добавление материалов на сайт нет смысла, как понимаю, обновление не должно зацепить часть движка, отвечающую за это. Единственный баг, это пустая страница браузера в админке при попытке перехода в менеджер пользователей. В адресной строке браузера отображается: адрес сайта/administrator/index.php?option=com_users Может кто в курсе, как исправить?

*

Оффлайн voland

  • ********
  • 9335
  • [+]520 / [-]101
  • СКАЙП утерян! Пишите в телеграм @volandku
    • Просмотр профиля
    • webstudio.pro
Приветствую. В общем, решил загрузить вышеозначенный патч для Joomla 2.5.28. Загрузка прошла нормально. После загрузки в панели выдалось сообщение Думаю, сразу проверять создание и добавление материалов на сайт нет смысла, как понимаю, обновление не должно зацепить часть движка, отвечающую за это. Единственный баг, это пустая страница браузера в админке при попытке перехода в менеджер пользователей. В адресной строке браузера отображается: адрес сайта/administrator/index.php?option=com_users Может кто в курсе, как исправить?
а Сtrl-F5 помогает?

*

Оффлайн Den-V

а Сtrl-F5 помогает?
Нет, не помогает. Может в файле /components/com_users/users.php что-то подкорректировать. Сам не силен в этом, потому спрашиваю на официальном форуме.
« Последнее редактирование: 16.12.2016, 16:56:43 от Den-V »

*

Оффлайн voland

  • ********
  • 9335
  • [+]520 / [-]101
  • СКАЙП утерян! Пишите в телеграм @volandku
    • Просмотр профиля
    • webstudio.pro
Нет, не помогает.
Только что поставил на один сайтик с 2.5

Всё работает

*

Оффлайн Den-V

Только что поставил на один сайтик с 2.5
Всё работает
Может это дело в файле users.php. Какой текст этого файла у Вас? Хотя этот файл в пакете патча, отличий быть не должно.

*

Оффлайн dmitry_stas

пустая страница браузера в админке при попытке перехода в менеджер пользователей.
показ ошибок php включите
Тут дарят бакс просто за регистрацию! Успей получить!
Все советы на форуме раздаю бесплатно, то есть даром. Индивидуально бесплатно консультирую только по вопросам стоимости индивидуальных консультаций

*

Оффлайн Den-V

Сейчас найду, как это сделать, и включу.

*

Оффлайн Den-V

показ ошибок php включите
В файле configuration.php строка public $error_reporting = 'default'; изменена на public $error_reporting = 'maximum'; Так включено? И какие дальнейшие действия, где что смотреть?

*

Оффлайн voland

  • ********
  • 9335
  • [+]520 / [-]101
  • СКАЙП утерян! Пишите в телеграм @volandku
    • Просмотр профиля
    • webstudio.pro

*

Оффлайн Den-V

Все нормально. Уже исправил. Это я сам намутил с файлами в админке, не туда забил код. )) 

*

Оффлайн Elimelech

у меня тоже патч нормально установился, и даже ничего не отвалилось! :)

*

Оффлайн Langoliers

  • *****
  • 695
  • [+]67 / [-]2
  • Если б Я изучал людей, то был бы паразитологом
    • Просмотр профиля
    • www.yazov.com
Мое внезапное возвращение на форум.
на всякий случай напишу и в этой теме. CVE-2016-9838 позволяет администратору получить права суперадминистратора. все. с фронта ей воспользоваться нельзя. поэтому закрыть регистрацию - это конечно кардинально, но конкретно для данного случая - совершенно излишне
Нет. Можно еще и файлы заливать. Мне вчера залили.

А вот у меня проблема: после того как пропатчил - не могу теперь редактировать пользователей. Пишет, У вас нет прав на доступ к данной странице по прямой ссылке. Установлен Slogin еще. Но редактировать не дает даже собственный профиль. Суперадмина
Оказалось еще и материалы изменять теперь нельзя.

UPD: чистка кеша и куки помогает, лол. А вот как мне файл залили - вопросец, ведь написано, что заливка шеллов работает только с 3.0
« Последнее редактирование: 10.01.2017, 15:18:20 от Langoliers »

*

Оффлайн dmitry_stas

Нет. Можно еще и файлы заливать. Мне вчера залили.
это печально. только при чем тут CVE-2016-9838 - непонятно.
Тут дарят бакс просто за регистрацию! Успей получить!
Все советы на форуме раздаю бесплатно, то есть даром. Индивидуально бесплатно консультирую только по вопросам стоимости индивидуальных консультаций

*

Оффлайн Langoliers

  • *****
  • 695
  • [+]67 / [-]2
  • Если б Я изучал людей, то был бы паразитологом
    • Просмотр профиля
    • www.yazov.com
это печально. только при чем тут CVE-2016-9838 - непонятно.
Да верно, это 9836. Хм, интересно тогда.

*

Оффлайн snikolai

Не устанавливается патч почему-то..

Код
Checksum for existing session.php matches patch file - not overwriting
Checksum for existing debug.php matches patch file - not overwriting
Checksum for existing component.php matches patch file - not overwriting
Checksum for existing registration.php matches patch file - not overwriting
Checksum for existing user.php matches patch file - not overwriting
Ошибка при установке компонента

*

Оффлайн voland

  • ********
  • 9335
  • [+]520 / [-]101
  • СКАЙП утерян! Пишите в телеграм @volandku
    • Просмотр профиля
    • webstudio.pro
Видимо прав на перезапись нету

*

Оффлайн snikolai

755 права на папках

*

Оффлайн dmitry_stas

а на файлах? ну поставьте 777, проще всего ж проверить. поможет - значит что-то с владельцем файлов.
Тут дарят бакс просто за регистрацию! Успей получить!
Все советы на форуме раздаю бесплатно, то есть даром. Индивидуально бесплатно консультирую только по вопросам стоимости индивидуальных консультаций

*

Оффлайн snikolai

Подумал, может вручную файлы заменить?..
5 файлов

менял на 777 тоже самое..
« Последнее редактирование: 10.05.2017, 20:13:32 от snikolai »

*

Оффлайн snikolai

Заменил вручную..