Недостаточная криптографическая устойчивость (предсказуемость кода).

[veb74 10]

На главной

http://dle-news.ru/bags/v96/1525-nedostatochnaya-kriptograficheskaya-ustoychivost.html

данный патч предназначен для всех версий скрипта

Хотел бы узнать - каких версий: 8.5 и 9.0 тоже обновлять ?

Что за уязвимость была?

[Nektov 59]

Хотел бы узнать - каких версий: 8.5 и 9.0 тоже обновлять ?

Ошибка в версии: 9.6 и все более ранние версии

Что за уязвимость была?

Проблема: Недостаточная криптографическая устойчивость (предсказуемость кода).

Или вам инструкцию по пользованию ошибкой?

[chelnovosti_ru 2]

Хотя бы объясните в двух словах на что влияет? Просто у меня в последнее время очень сильно выросла нагрузка...Возможно ли это из-за этой дыры?

[Nektov 59]

Возможно ли это из-за этой дыры?

Давайте логично размышлять.

В каком файле нашли уязвимость? За что отвечает сей файл?

Я думаю ответ на ваш вопрос вы уже знаете.

[chelnovosti_ru 2]

Ага...)

[Taganay 27]

То есть на сайты, где отключена регистрация это не влияет?

[chelnovosti_ru 2]

То есть на сайты, где отключена регистрация это не влияет?

Думаю, что нет.

[Captain 625]

Грубо говоря (как я понял), просто усилили алгоритм шифрования данных при их передаче.

Криптографическая стойкость

[celsoft 6 095]

Просто у меня в последнее время очень сильно выросла нагрузка...Возможно ли это из-за этой дыры?

Нет на нагрузку это никак не влияет.

То есть на сайты, где отключена регистрация это не влияет?

Влияет, администратор у сайта есть в любом случае независимо от того включена регистрация или нет. А значит есть хотя бы один пользователь. Ставить патч нужно всем независимо от того что включено или отключено на сайте.

Суть этой уязвимости заключается в том что мощности современных копьютеров позволяют предсказать генерируемый скриптом код. Причем стойкость сайта зависит от OS на котором стоит сайт. Наиболее уязвимы сайты на windows, наименее уязвимы на linux. Но опасность существует для всех, поэтому рейтинг опасности высокий, патч нужно ставить обязательно.

[Taganay 27]

Я на свежих версиях поставил патч, а там где стоят старые версии просто удалил этот файл.

[Captain 625]

...а там где стоят старые версии просто удалил этот файл.

Железная логика, просто заменить файл не судьба видимо.

[ATHF 33]

Получается что изменили шифрование ключа, раньше его можно было вычислить перебором чисел (14 в 34 степени). А сейчас перебор не поможет.

celsoft, вы используете устаревшую версию скрипта.

когда уже закроете?

http://dle-news.ru/engine/ajax/updates.php

не критично, но как то неприятно.

[Nektov 59]

celsoft, вы используете устаревшую версию скрипта. когда уже закроете? http://dle-news.ru/e...jax/updates.php

Оно такое показывает на всех сайтах, вне зависимости от версии скрипта.

[ATHF 33]

Оно такое показывает на всех сайтах, вне зависимости от версии скрипта.

Переменная с версией не передается. Должны видеть Hacking attempt.

[celsoft 6 095]

Переменная с версией не передается. Должны видеть Hacking attempt.

Зачем они должны видеть Hacking attempt? Это какое то обязательное требование? Я не вижу необходимости данной надписи в этом файле.

[pushkinmdv 1]

Как правильно сохранять пути к файлам??? А то после копирования сайт вообще не открывается?

"Для установки исправления, скачайте патч и скопируйте файлы из архива на свой сервер с сохранением путей к файлам."

[celsoft 6 095]

Как правильно сохранять пути к файлам??? А то после копирования сайт вообще не открывается?

У другом у вас причина проблема. И открытие или нет сайта от данного файла не зависит вообще, хоть вообще его не будет. Этот файл используется только в функциях восстановления пароля, и не используется вообще при простом открытии сайта. Ищите проблему в другом, если ваш сайт периодически не открывается, то вам нужно обращаться к вашему хостинг провайдеру, у вас сервер нестабильно работает где сайт расположен.

Как правильно сохранять пути к файлам???

просто возмьмите файл lostpassword.php из архива и скопируйте его в папку engine/modules/

[pushkinmdv 1]

Да нет он пишет ошибку доатупа к базе mysql 41

А можно просто файл lostpassword.php закинуть из патча и все?

[celsoft 6 095]

Да нет он пишет ошибку доатупа к базе mysql 41А можно просто файл lostpassword.php закинуть из патча и все?

Не имеет данный патч никакого отношения к вашей проблеме, он никак не связан с доступом к MySQL. Вам нужно проверять работоспособность вашего MySQL сервера в данном случае. Может быть вы изменили пароль от MySQL, теперь тогда вам нужно указать новый пароль в файле engine/data/dbconfig.php

А можно просто файл lostpassword.php закинуть из патча и все?

это собственно и нужно делать, просто взять и скопировать его на сервер.

Вообще то патч скачивается отдельно http://dle-news.ru/bags/v96/1525-nedostatochnaya-kriptograficheskaya-ustoychivost.html и никаких других файлов в этом патче нет, кроме lostpassword.php

[pushkinmdv 1]

Вернул всю папку engine, хорошо что сделал копию, потом из патча скопировал файл lostpassword.php и переписал его в папке engine/modules/

правильно?

[WWW.ZEOS.IN 1 161]

потом из патча скопировал файл lostpassword.php и переписал его в папке engine/modules/ правильно?

Правильно

[pushkinmdv 1]

ОК всем удачи!

[RedRoll 67]

2pushkinmdv, как вы с такими знаниями сайт-то поставили... удивительно...

[Rival 0]

У меня на dle 7.3 после патча выдаёт в письме две ссылки

1. ...index.php?do=lostpassword&action=password&douser...

2. ...index.php?do=lostpassword&action=ip&douser...

На какую не нажми, получаем ошибку "Пользователь с таким именем не запрашивал восстановление пароля, либо данная ссылка уже устарела."

Почему так может быть?

[veb74 10]

Суть этой уязвимости заключается в том что мощности современных копьютеров позволяют предсказать генерируемый скриптом код. Причем стойкость сайта зависит от OS на котором стоит сайт. Наиболее уязвимы сайты на windows, наименее уязвимы на linux. Но опасность существует для всех, поэтому рейтинг опасности высокий, патч нужно ставить обязательно.

Спасибо.

Но всё равно неприятно. Столько лет работали с дырой в движке.

И как включить уведомления на емейл?

Здесь уже аж две страницы нафлудили, а уведомления внутренние, для тех кто здесь живет, он и сам увидит ответы новые.