Bon, les gens, on a du boulot !

2014-05-14 21:54 GMT+02:00 Dotclear (contact) <contact(a)dotclear.net&gt;: > Bon, les gens, on a du boulot ! > Plop, Tu peux mettre les pièces jointes quelque part ? Elles ne passent pas sur la ml -- Bruno -- Dev mailing list - Dev(a)list.dotclear.org - http://ml.dotclear.org/listinfo/dev

2014-05-15 11:46 GMT+08:00 Franck Paul <carnet.franck.paul(a)gmail.com&gt;: > Ah, au fait, je viens de remercier Romano (je suppose que c'est son > prénom). > Hmm pas sûr :) Aldo Romano est un batteur de jazz, mais "Romano" c'est son nom de famille ;) > > > Le 14 mai 2014 22:31, Bruno <dsls(a)morefnu.org&gt; a écrit : > > > 2014-05-14 21:54 GMT+02:00 Dotclear (contact) <contact(a)dotclear.net&gt;: > > > > > Bon, les gens, on a du boulot ! > > > > > > > Plop, > > > > Tu peux mettre les pièces jointes quelque part ? Elles ne passent pas sur > > la ml > > > > -- > > Bruno > > -- > > Dev mailing list - Dev(a)list.dotclear.org - > > http://ml.dotclear.org/listinfo/dev > > > > > > -- > Franck > -- > Dev mailing list - Dev(a)list.dotclear.org - > http://ml.dotclear.org/listinfo/dev > -- Pierre Equoy -- Dev mailing list - Dev(a)list.dotclear.org - http://ml.dotclear.org/listinfo/dev

Ou que tu merges, au choix.

Le 15 mai 2014 08:44, Franck Paul <carnet.franck.paul(a)gmail.com&gt; a écrit : > Ou que tu merges, au choix. > J'étais juste en train de le faire, c'est corrigé maintenant :) Sur default post.php montre comment on pourrait (devrait) corriger tous les liens vers les url d'admin dans les pages d'admin. 1/ et 3/ corrigés sur la 2.6 et sur default. Pour le 2/ ça reste le débat éternel, il n'y a pas de solution correcte, si ce n'est d'éduquer correctement celui qui gère la plate-forme. Pour le 1/, il y avait en effet une belle faille sur le mot de passe. J'en ai profité pour virer le test sur auth->userID() qui ne sert pas, vu qu'on ne crée aucune session http. -- Bruno -- Dev mailing list - Dev(a)list.dotclear.org - http://ml.dotclear.org/listinfo/dev

Le 15 mai 2014 13:13, Franck Paul <carnet.franck.paul(a)gmail.com&gt; a écrit : > Pour le point 2, il est vrai qu'un simple .htaccess à la racine du dossier > public avec un "php_flag engine off" suffit à empêcher l'exécution, mais > est-ce que tout le monde a la possibilité de le faire ? > Clairement non. Déjà, avoir un .htaccess suppose avoir un apache, ce qui n'est pas forcément le cas :) -- Bruno -- Dev mailing list - Dev(a)list.dotclear.org - http://ml.dotclear.org/listinfo/dev

J'avoue ne pas tout comprendre à la discussion sauf que c'est de la sécurité et juste rappeler que pas mal d'utilisateurs ne sont pas plus geek que cela, donc qui dis rappel de sécu dit éventuellement un tutoriel détaillé. Combien de fois sur le forum j'ai été perdu quand on m'a dis ben tu fais fait un .htacess ;-)

> Chez OVH on ne peut pas désactiver les .php Je viens de tester sur mon hébergement mutu OVH : toutes les images sautent avec cette directive.

Bonjour Franck, Le vendredi 16 mai 2014 à 10:57:20, vous écriviez : > En attendant que la 2.6.3 sorte, et si vous n'avez pas besoin du XML-RPC, > il est conseillé de désactiver ça côté " Réglages du blog ". Merci pour l'info mais pourquoi restreindre cette info sécurité au club très très réduit de cette ml ? -- brol -- Dev mailing list - Dev(a)list.dotclear.org - http://ml.dotclear.org/listinfo/dev

À ce sujet, quelqu'un a-t-il testé la nightly 2.6.3 de cette nuit ?

Nope, justement, normalement ça ne doit rien changer du tout, on a juste fermé un p'tit trou et un gros, enfin c'est Bruno qui a, moi j'ai juste publié la nouvelle version Le 16 mai 2014 14:45, Philippe <philippe(a)dissitou.org&gt; a écrit : Ouaipe, la 2.6.3-r2709 propulse mes 5 domaines depuis ce matin > > Je n'ai pas vu de différence avec la précédente, il faudrait ? > -- > Philippe > > > Le 16 mai 2014 13:22, Franck Paul <carnet.franck.paul(a)gmail.com&gt; a écrit > : > > À ce sujet, quelqu'un a-t-il testé la nightly 2.6.3 de cette nuit ? > -- > Dev mailing list - Dev(a)list.dotclear.org - > http://ml.dotclear.org/listinfo/dev > -- Franck

Tiens, au passage, si un anglophone pouvait me faire une p'tite traduction de ça (présent dans le billet d'annonce FR et absent du billet EN) : ---- Il nous a également alerté sur la possibilité d'envoyer et de faire exécuter dans le dossier des médias un script PHP. Dotclear ne peut pas garantir complètement ce genre de défaut et il faut veiller à ne pas laisser de tel fichiers dans vos médias, ou, si c'est important, d'éviter qu'ils soient exécutables. Pour ce faire plusieurs techniques existent et dépendent essentiellement de l'hébergeur et du logiciel serveur. Pour Apache, par exemple, un fichier .htaccess placé dans le dossier public et contenant la directive suivante permet de l'éviter : php_flag engine off ---- Merci beaucoup d'avance ! Le 16 mai 2014 14:57, Franck Paul <carnet.franck.paul(a)gmail.com&gt; a écrit : > Et d'ailleurs j'en profite pour vous signaler que la 2.6.3 est sortie. > > > Le 16 mai 2014 14:56, Franck Paul <carnet.franck.paul(a)gmail.com&gt; a écrit : > > Nope, justement, normalement ça ne doit rien changer du tout, on a juste >> fermé un p'tit trou et un gros, enfin c'est Bruno qui a, moi j'ai juste >> publié la nouvelle version >> >> >> Le 16 mai 2014 14:45, Philippe <philippe(a)dissitou.org&gt; a écrit : >> >> Ouaipe, la 2.6.3-r2709 propulse mes 5 domaines depuis ce matin >>> >>> Je n'ai pas vu de différence avec la précédente, il faudrait ? >>> -- >>> Philippe >>> >>> >>> Le 16 mai 2014 13:22, Franck Paul <carnet.franck.paul(a)gmail.com&gt; a >>> écrit : >>> > À ce sujet, quelqu'un a-t-il testé la nightly 2.6.3 de cette nuit ? >>> -- >>> Dev mailing list - Dev(a)list.dotclear.org - >>> http://ml.dotclear.org/listinfo/dev >>> >> >> >> >> -- >> Franck >> > > > > -- > Franck > -- Franck -- Dev mailing list - Dev(a)list.dotclear.org - http://ml.dotclear.org/listinfo/dev

Ou que tu merges, au choix. Le 15 mai 2014 08:44, Franck Paul <carnet.franck.paul(a)gmail.com&gt; a écrit : Bruno, t'as commité avec deux bouts de branche default ! Va falloir que tu > vires celle où t'as fait les essais d'URL handler côté admin ;-) > > > Le 15 mai 2014 06:02, Pierre Equoy <pierre.equoy(a)gmail.com&gt; a écrit : > > 2014-05-15 11:46 GMT+08:00 Franck Paul <carnet.franck.paul(a)gmail.com&gt;: >> >> > Ah, au fait, je viens de remercier Romano (je suppose que c'est son >> > prénom). >> > >> >> Hmm pas sûr :) >> Aldo Romano est un batteur de jazz, mais "Romano" c'est son nom de >> famille >> ;) >> >> >> >> > >> > >> > Le 14 mai 2014 22:31, Bruno <dsls(a)morefnu.org&gt; a écrit : >> > >> > > 2014-05-14 21:54 GMT+02:00 Dotclear (contact) <contact(a)dotclear.net >> >: >> > > >> > > > Bon, les gens, on a du boulot ! >> > > > >> > > >> > > Plop, >> > > >> > > Tu peux mettre les pièces jointes quelque part ? Elles ne passent >> pas sur >> > > la ml >> > > >> > > -- >> > > Bruno >> > > -- >> > > Dev mailing list - Dev(a)list.dotclear.org - >> > > http://ml.dotclear.org/listinfo/dev >> > > >> > >> > >> > >> > -- >> > Franck >> > -- >> > Dev mailing list - Dev(a)list.dotclear.org - >> > http://ml.dotclear.org/listinfo/dev >> > >> >> >> >> -- >> Pierre Equoy >> -- >> Dev mailing list - Dev(a)list.dotclear.org - >> http://ml.dotclear.org/listinfo/dev >> > > > > -- > Franck > -- Franck

Concernant le 1/ xmlrpc est-il censé gérer des sessions http ? Sinon, je pense qu'on peut virer un bout de code inutile de setUser (le 1er test). 2014-05-14 21:54 GMT+02:00 Dotclear (contact) <contact(a)dotclear.net&gt;: > Bon, les gens, on a du boulot ! > > ---------- Forwarded message ---------- > From: Egidio Romano <n0b0d13s(a)gmail.com&gt; > Date: 2014-05-14 21:20 GMT+02:00 > Subject: Dotclear <= 2.6.2 Multiple Security Vulnerabilities > To: security(a)dotclear.net, contact(a)dotclear.net > > > Hello, > > I discovered some security issues in the latest version of Dotclear, and > very likely older versions are affected as well. > > 1) Authentication bypass in the XML/RPC interface > > This issue is due to the dcXmlRpc::setUser method > (inc/core/class.dc.xmlrpc.php) not properly verifying the provided password > before being used in a call to the dcAuth::checkUser method. This could be > exploited to bypass the authentication mechanism by calling a XML/RPC > method with a valid username and an empty password. Successful exploitation > of this issue requires the XML/RPC interface to be enabled. > > 2) Unrestricted file upload in the media manager > > This issue is due to the filemanager::isFileExclude method > (inc/libs/clearbricks/filemanager/class.filemanager.php) not properly > verifying the extension of uploaded files. This method just checks if the > uploaded file name matches the "exclude_pattern" regular expression, which > by default is set to "/\.php$/i". This might not be enough to prevent PHP > code execution, because other extensions (like .php5, .phtml, etc...) might > be used and handled as PHP script by the web server. Furthermore, this > approach could be bypassed by uploading a file with multiple extensions > (like evil.php.foo). > > 3) SQL injection in admin/categories.php > > Input passed via the $_POST['categories_order'] parameter to > admin/categories.php is not properly verified before being passed to > the dcBlog::updCategoryPosition method. This could be exploited to conduct > SQL injection attacks leveraging the UPDATE statement defined in > the nestedTree::updatePosition method. Successful exploitation of this > issue requires an account with the "manage categories" permission. > > [-] Proof of Concept > > Please fine attached two PoC scripts, which are intended to be used from > the command line (CLI): > - xmlrpc.php tries to exploit (1) and (2) together to upload a PHP file. > - sqli.php tries to exploit (3) to fetch user ID and password of a super > user. > > If you have any questions or concerns about the matter above, please do not > hesitate to contact me. > > Best regards, > Egidio Romano > > > > -- > Dotclear Team > > -- > Dev mailing list - Dev(a)list.dotclear.org - > http://ml.dotclear.org/listinfo/dev > -- Dev mailing list - Dev(a)list.dotclear.org - http://ml.dotclear.org/listinfo/dev