Внимание всем у кого версия 8.2

[celsoft 6 095]

Вниманию всех пользователей версии 8.2 (другие версии скрипта уязвимости не подвержены)

В версии 8.2 обнаружена серьезная ошибка, приводящая к потери контроля над сайтом. Всем незамедлительно нужно скачать исправление бага http://dle-news.ru/bags/v82/789-nedostatochnaya-filtraciya-vxodyashhix-dannyx.html

Приношу свои извинения за столь досадную ошибку в скрипте.

[WMDrakon 20]

Спасибо Давно никаких таких багов не было :)

[celsoft 6 095]

Случайным образом в финальный дистрибутив версии 8.2 попал файл из ранней стадии разработки 8.2 Это файла изначально там быть не должно, поэтому и нет уязвимости в старых версиях и актуальной версии 8.3

[Mek 99]

celsoft, если можно, то напишите по подробнее, что мог сделать злоумышленник? Нужно ли менять пароли всем пользователям сайта, пароль от фтп и тд...

Могли ли слить базу, при условии что в папке backup у меня лежит .htaccess с кодом:

<Files "*.sql">

Deny from all

</Files>

<Files "*.gz">

Deny from all

</Files>

P.S. меня это интересует, так как сегодня я дважды не мог зайти на свой сайт из за "неверного" пароля .

Изменено 12 ноября 2009 пользователем Mek

[celsoft 6 095]

celsoft, если можно, то напишите по подробнее, что мог сделать злоумышленник?

Если папка была закрыта, то бекапы слить не могли. А вообще можно сделать все что вы можете сами сделать в своей админпанели

[WWW.ZEOS.IN 1 161]

Спасибо за оперативность

Я так понял изменения только в двух строчках

Изменено 12 ноября 2009 пользователем WWW.ZEOS.IN

[Icomm 0]

Меня тоже ломанули и по всей видимости слили базу, вот попадос...

[WWW.ZEOS.IN 1 161]

Разослал сообщение всем кому смог

[CRRain 1]

Очень неприятно, всю ночь сидел думал что баги в другом месте а оказалось все таки в скрипте, не ожидал.

базу слили..тоже не радует.

[Mek 99]

Меня тоже ломанули и по всей видимости слили базу, вот попадос...

Чтоб не слили базу, нужно в папке backup создать файл .htaccess с кодом:

<Files "*.sql">

Deny from all

</Files>

<Files "*.gz">

Deny from all

</Files>

В таком случаи базу можно будет слить только через фтп

Изменено 12 ноября 2009 пользователем Mek

[WMDrakon 20]

Как-то все быстро у всех все слили. Странно.

[Edward 4]

мой сайт тоже был сегодня взломан - как админ не мог зайти.

через обратную связь доступ восстановил, патч установил...

осталось выяснить, что юные хакеры могли натворить...

[Mek 99]

мой сайт тоже был сегодня взломан - как админ не мог зайти.

через обратную связь доступ восстановил, патч установил...

осталось выяснить, что юные хакеры могли натворить...

Такая же фигня... Как это можно сделать ?

Нашёл только один способ- на фтп посмотреть какие файлы были изменены за последнее время.

[WMDrakon 20]

Хорошо, что у меня 8.0 стоит пока))) А то тут какоие-то массовые взломы пошли. Свиной грипп отдыхает

[CRRain 1]

кстати на такие случаи может быть в след версии появится функция "последнии действия админа или других журналистов /редакторов", было бы очень удобно.

[WWW.ZEOS.IN 1 161]

CRRain, +1

[PaSSoR 19]

А вообще каким путём злоумышленники сливали себе базу?!

[celsoft 6 095]

А вообще каким путём злоумышленники сливали себе базу?!

Эта ошибка позволяет сбросить администраторский пароль на другой и зайти в админпанель.

[WWW.ZEOS.IN 1 161]

Заходили в админку DLE и так же как администратор делали бекап и скачивали

имхо

[PaSSoR 19]

Ну так для этого надо было восстановить/знать пароль администратора

Ну так что сейчас мешает узнать пароль админа, зайти и слить?)

[celsoft 6 095]

Ну так для этого надо было восстановить/знать пароль администратора

Ну так что сейчас мешает узнать пароль админа, зайти и слить?)

Узнать пароль было нельзя, но его можно было сбросить на другой. Опубликованный фикс, закрывает эту проблему.

[guusr 19]

PaSSoR,

ну наверное то что дырку прикрыли)

[PaSSoR 19]

guusr, блин логично...

celsoft, ясно.., но всё же не понятно как именно.

Изменено 12 ноября 2009 пользователем PaSSoR

[WWW.ZEOS.IN 1 161]

Мне кажется, надо разослать всем сообщение, кто купил лицензию, на емейл указанный при регистрации

[celsoft 6 095]

celsoft, ясно.., но всё же нпонятно как именно.

Зачем вам знать как? Честному человеку это не нужно.