Вышли Drupal 5.13 и 6.7, а также откат патча безопасности 5.14 и 6.8!!!

11 декабря 2008 в 3:49
Drupal6 Drupal5
Аватар пользователя VladSavitsky VladSavitsky 0 23

Если версия PHP>5.2, то нет смысла обновлять до 6.8, потому что это откат патча безопасности, который был выпущен в 6.7. (См. http://drupal.ru/node/22596)

Security Team уже все знает!Оригинал: SA-2008-073 - Drupal core - Multiple vulnerabilities

Описание

Множественные уязвимости и слабые места были найдены в Drupal.

Подделывание запросов на другие сайты (Cross site request forgery)

Система обновлений содержит уязвимость к подделыванию запросов на другие сайты.
Злонамеренные пользователи могут использовать суперпользователя (user 1) для выполнения старых обновлений, которые приводят к разрушению базы данных.

Cross site scripting

Когда формат ввода удален, не весь существующий контент на сайте обновлен, чтобы отобразить это удаление. Подобный контент отображеется без фильтрации. Это может привести к атакам cross site scripting, когда вредные теги больше не исключатся из "злонамеренного" контента, который был размещен ранее.

Затронутые версии

  • Drupal 5.x версии ниже 5.13
  • Drupal 6.x версии ниже 6.7

Решение

Установить последнюю версию:

Обратите внимание: файлы robots.txt и .htaccess были изменены и должны быть замещены.

Файл settings.php НЕ был изменен и может быть оставлен как есть, если обновляется текущая версия Drupal.

Если вы не можете обновиться немедленно, вы можете применить патч для того, чтобы обезопасить свою установку, пока вы не сможете сделать полное обновление. Патчи исправляют уязвимости, но не содержат изменений, которые есть в этих версиях

Сообщил

Обе уязвимости обраружил David Rothstein (David_Rothstein).

Комментарии

Аватар пользователя dbzer0 dbzer0 0

То есть, как я понимаю, обновления базы не происходит с перехода с 6.6 на 6.7, то есть update.php запускать не требуется?

11 декабря 2008 в 5:34
Аватар пользователя orb orb 0

при обновлении до 6.7 не хочет работать XML Sitemap 6.x-1.x-dev (2008-Дек-09)

нельзя сделать update.php, пишет что этот модуль уже отослал заголовок

11 декабря 2008 в 16:20
Аватар пользователя VladSavitsky VladSavitsky 0

В .htaccess поменялась только одна строка - остальное комментарии.

Найти:

<FilesMatch "\.(engine|inc|info|install|module|profile|po|sh|.*sql|theme|tpl(\.php)?|xtmpl)$|^(code-style\.pl|Entries.*|Repository|Root|Tag|Template)$">

Заменить на:

<FilesMatch "\.(engine|inc|info|install|module|profile|test|po|sh|.*sql|theme|tpl(\.php)?|xtmpl|svn-base)$|^(code-style\.pl|Entries.*|Repository|Root|Tag|Template|all-wcprops|entries|format)$">

Патч прилагаю.

10 ноября 2015 в 11:45
Аватар пользователя andyceo andyceo 0

Друзья, насчёт XML Sitemap 6.x-1.x-dev (2008-Дек-09) вас разве честно не предупреждали?

This is the porting of code from 5.x-2.x-dev; it also fixes some issues present in 6.x-0.x-dev.
It's not ready for production uses.

http://drupal.org/node/335174

Рабочая ветка этого модуля XML Sitemap 6.x-0.x-dev. Я тоже ставил единицу, тоже у меня не пахала. юзайте ноль, пока что.

11 декабря 2008 в 18:30
Аватар пользователя EllECTRONC EllECTRONC 0

"Zga" wrote:
они их пекут, как пироги...

скорее блинчики, пироги дольше... )))
Я только успела загрузить 5.13 и 6.7, а они еще раз обновили.

11 декабря 2008 в 21:44
Аватар пользователя andyceo andyceo 0

Влад, поменяй заголовок, пропиши в нём свежие версии! Неохота новую тему забубенивать, каждый раз как у них там версия выходит)

2 andypost

Андрей, а в 6.8 всосался твой патч с комментариями, или нет?

11 декабря 2008 в 22:13
Аватар пользователя ingumsky@drupal.org ingumsky@drupal.org 0

"<a href="mailto:andypost@drupal.org">andypost@drupal.org</a>" wrote:
в 6.8 нет патча, я вообще не рекомендую откатываться на 6.8 если версия php >= 5.2

М-м-м, то есть, если я уже вчера обновился до 6.7, можно дальше не обновляться? Версия php у меня 5.2.0-8+etch13 (сервер, как видно на дебиан Wink

И ещё, скажите, пожалуйста, если я сейчас не обновляюсь на 6.8, потом перескочить сразу с 6.7 на 6.9 можно будет или надо будет сначала проапдейтиться до 6.8?

12 декабря 2008 в 16:11
Аватар пользователя EllECTRONC EllECTRONC 0

"<a href="mailto:ingumsky@drupal.org">ingumsky@drupal.org</a>" wrote:
И ещё, скажите, пожалуйста, если я сейчас не обновляюсь на 6.8, потом перескочить сразу с 6.7 на 6.9 можно будет или надо будет сначала проапдейтиться до 6.8?

Без проблем!

14 декабря 2008 в 22:41