URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 105161
[ Назад ]

Исходное сообщение
"Критическая уязвимость в системе управления контентом Joomla"

Отправлено opennews , 22-Окт-15 22:51 
Представлен (https://www.joomla.org/announcements/release-news/5634-jooml...) внеплановый корректирующий выпуск системы управления контентом Joomla 3.4.5, в котором устранена критическая уязвимость (http://developer.joomla.org/security-centre/628-20151001-cor...), позволяющая осуществить подстановку SQL-запроса, путем отправки специально оформленного неаутентифицированного обращения. Проблема проявляется во всех выпусках, начиная с Joomla 3.2. Пользователям рекомендуется срочно обновить свои системы.


URL: https://www.joomla.org/announcements/release-news/5634-jooml...
Новость: http://www.opennet.me/opennews/art.shtml?num=43186


Содержание

Сообщения в этом обсуждении
"Критическая уязвимость в системе управления контентом Joomla"
Отправлено Аноним , 22-Окт-15 23:29 
Конешно, он же написан на PHP, а этот язык совершенно не умеет пользоваться мозгами программистов.

"Критическая уязвимость в системе управления контентом Joomla"
Отправлено Аноним , 23-Окт-15 02:31 
Язык прекрасный, гораздо лучше подходит для написания веб приложений чем всякие ruby,python и java с go. А неосиляторы пусть удосужатся хотя бы вменяемые аргументы привести против этого языка. Все что я слышу против php полный бред.

"Критическая уязвимость в системе управления контентом Joomla"
Отправлено angra , 23-Окт-15 06:42 
Я не особо слежу за его развитием, но кажется этот лучший язык для веб приложений до сих пор не умеет нормальный fastcgi, только обертку над обычным cgi исполнением.

"Критическая уязвимость в системе управления контентом Joomla"
Отправлено Аноним , 23-Окт-15 07:06 
php-fpm встроен начиная с версии 5.3.

"Критическая уязвимость в системе управления контентом Joomla"
Отправлено Аноним , 23-Окт-15 08:32 
Тебе же сказали, что PHP-FPM это обёртка над CGI

"Критическая уязвимость в системе управления контентом Joomla"
Отправлено Michael Shigorin , 23-Окт-15 11:33 
> Конешно, он же написан на PHP

Почему-то в Drupal и TYPO3 такого беспредела, как у этих детсадовцев, не наблюдается (хотя дырки тоже бывают, увы и ах).

Люди, которые думают, что инструмент заменяет эти самые мозги -- ну, понимаете, да? -- при этом из инструментов и впрямь стоит выбирать дающие более качественный результат, если уж делать.


"Критическая уязвимость в системе управления контентом Joomla"
Отправлено Аноним , 23-Окт-15 13:26 
Тут важна совсем другая штука, а именно: чтобы предотвратить появление комментов вида "А ето ошибки там, потому что это язык такой плохой", достаточно заблаговременно поместить саркастичный коммент из той же самой сферы, но утрирующей эту идею до уровня очевидной нелепости (когда язык сам пользуется мозгоресурсами).

Очевидно, что исключение из разработки фактора программиста - полнейшая глупость, но тема эта, тем не менее, поднимается с заданным постоянством, достаточно лишь в каком-либо продукте, написанном на PHP, найти уязвимость.

(хотя, про предотвращение могу и ошибаться, так как такие комменты могли быть просто отмодерированы).


"Критическая уязвимость в системе управления контентом Joomla"
Отправлено Typhoon , 23-Окт-15 23:01 
TYPO3 нужно долго изучать

"Критическая уязвимость в системе управления контентом Joomla"
Отправлено th3m3 , 23-Окт-15 00:15 
Лол. Этим ещё кто-то пользуется?

"Критическая уязвимость в системе управления контентом Joomla"
Отправлено Александр , 23-Окт-15 08:10 
Ну-ка, ну-ка, уважаемый. Подскажи чем же нам пользоваться?

"Критическая уязвимость в системе управления контентом Joomla"
Отправлено Аноним , 23-Окт-15 09:15 
Golang, Erlang, Rust, Python, C++14, Java.

"Критическая уязвимость в системе управления контентом Joomla"
Отправлено Аноним , 23-Окт-15 09:31 
ну в java-то уявимостей нет, а обновления они от скуки делают

"Критическая уязвимость в системе управления контентом Joomla"
Отправлено Аноним , 23-Окт-15 10:34 
> Golang, Erlang, Rust, Python, C++14, Java.

Хм. Что-то раньше не слыхал о таких CMS.


"Критическая уязвимость в системе управления контентом Joomla"
Отправлено YetAnotherOnanym , 23-Окт-15 11:01 
Не залезая в гугол: на бидоне - плон, джанго, на эрланге - зотоник, закись, чикагобосс.
Ваша реплика очень характерна для представителя массы php-кодеров - она показывает степень Вашей профессиональной эрудиции и отсутствие желания её хоть как-то развивать. Вы даже не потрудились посмотреть в вики - https://en.wikipedia.org/wiki/List_of_content_management_sys...

"Критическая уязвимость в системе управления контентом Joomla"
Отправлено Michael Shigorin , 23-Окт-15 11:34 
> Ну-ка, ну-ка, уважаемый. Подскажи чем же нам пользоваться?

Например, теми же Drupal/TYPO3.  А php отчасти купируется mod_security, только настраивать его бермуторно...


"Критическая уязвимость в системе управления контентом Joomla"
Отправлено Typhoon , 23-Окт-15 23:05 
>> Ну-ка, ну-ка, уважаемый. Подскажи чем же нам пользоваться?
> Например, теми же Drupal/TYPO3.  А php отчасти купируется mod_security, только настраивать
> его бермуторно...

А почему не жанга?


"Критическая уязвимость в системе управления контентом Joomla"
Отправлено Typhoon , 23-Окт-15 23:07 
>> Ну-ка, ну-ка, уважаемый. Подскажи чем же нам пользоваться?
> Например, теми же Drupal/TYPO3.  А php отчасти купируется mod_security, только настраивать
> его бермуторно...

Да и вообще нужно переходить на статические сайты


"Критическая уязвимость в системе управления контентом Joomla"
Отправлено manster , 23-Окт-15 01:15 
т.е. как обычно - возможность SQL-инъекции ...

"Критическая уязвимость в системе управления контентом Joomla"
Отправлено Дворник , 23-Окт-15 16:45 
> т.е. как обычно - возможность SQL-инъекции ...

И, как обычно, весь SQL исполняется на SQL-сервере с максимальными (если не админскими) правами.
Почему бы не ограничить соединение с SQL-сервером правами, необходимыми и достаточными для авторизированного на web-морде конкретного пользователя? Зачем, например, гостю иметь доступ к таблице с пользователями и их паролями (пусть даже и хешами с солью)?


"Критическая уязвимость в системе управления контентом Joomla"
Отправлено тоже Аноним , 23-Окт-15 17:08 
Пользователю вообще доступ к БД незачем.
А вот скрипту, который его авторизует, неплохо бы свериться с вышеупомянутой таблицей.

"Критическая уязвимость в системе управления контентом Joomla"
Отправлено Дворник , 25-Окт-15 22:04 
> Пользователю вообще доступ к БД незачем.

Ну вот реальность вновь и вновь доказывает, что находятся, хмм, интересующиеся. И возможности изыскивают.

> А вот скрипту, который его авторизует, неплохо бы свериться с вышеупомянутой таблицей.

Неплохо.. Ну, это субъективно.
Но можно, например, дёрнуть функцию из БД (передав ей логин и пароль) из-под роли, которой разрешён доступ лишь к этой одной функции. А она уже может и роль новую вернуть.

Повторюсь - зачем скриптам иметь полный доступ к БД?


"Критическая уязвимость в системе управления контентом Joomla"
Отправлено manster , 24-Окт-15 00:12 
Для начала просто делать prepare + биндинг параметров, везде

"Критическая уязвимость в системе управления контентом Joomla"
Отправлено Дворник , 25-Окт-15 22:14 
> Для начала просто делать prepare + биндинг параметров, везде

Это просто факт, не требующий обсуждения.

Я же немного о ином. Гарантировать отсутствие ошибок невозможно в принципе. Не будет своих, так нарвёшься на дыру в php (раз уж Joomla на нём писана), или в веб-сервере, или в libgd или lib*sqlclient каком-нибудь... Но почему, например, возможность исполнения произвольного (php-)кода на сервере автоматом тянет за собой доступ ко всей БД (притом не только на запись, но и на alter/create/etc)?
Вот это-то мне и не ясно.


"Критическая уязвимость в системе управления контентом Joomla"
Отправлено YetAnotherOnanym , 23-Окт-15 01:49 
Кто б удивлялся...

"Критическая уязвимость в системе управления контентом Joomla"
Отправлено Typhoon , 23-Окт-15 23:10 
Классно, можно бабло грести обновляя это, а если бабулетки не башляют, то пусть им шматуют базу в капусту, так им и надо жадинам )))

"Критическая уязвимость в системе управления контентом Joomla"
Отправлено Georges , 24-Окт-15 00:50 
Обновляя и повышая безопасность и ускоряя джумлы.
Ещё можно бэкапы настроить.