MuSite - Falha de segurança

Printable View

27/02/2021, 10:37 PM
daldegam

MuSite - Falha de segurança

Boa noite, tudo bem?
Leandro Daldegam aqui!

Muito tempo se passou desde que eu desenvolvi o MuSite.

Fui contactado hoje por um desenvolvedor chamado Leonardo Lana ([Only registered and activated users can see links. Click Here To Register...]), onde o mesmo me avisou de um problema de segurança existente no MuSite.

Após ele me mostrar onde estava a falha em questão, pedi o mesmo para enviar o patch de correção (pull request) para o repositório(github) do site que hoje é open source(código aberto).

Assim que ele enviou, aceitei a correção e fiz o merge.

Estou então avisando imediatamente para todas as pessoas que possivelmente utilizam o MuSite para que o atualizem imediatamente caso ainda estejam com ele em produção;

Como atualizar (explicação para leigos):
- Faça um backup do site que você está utilizando.
- Faça o download do conteúdo desse arquivo: [Only registered and activated users can see links. Click Here To Register...]
- Abra o diretório em que o site está instalado, e substitua o arquivo modules/classes/ldpaneluser.class.php pelo que você acabou de obter no link acima.
- Pronto, seu site estará atualizado.

Recomendo que acessem o repositório [Only registered and activated users can see links. Click Here To Register...] e usem o recurso "Watch" e também "Star" para ficarem sabendo de futuras atualizações de segurança por parte da própria comunidade.

Imagem de como ativar as opções:
[Only registered and activated users can see links. Click Here To Register...]

Caso não tenha cadastro no github basta se cadastrar, é gratuito.
O patch de segurança em questão foi:[Only registered and activated users can see links. Click Here To Register...]

Agradeço ao Leonardo Lana pelo aviso.

Abraços,
Leandro Daldegam
27/02/2021, 11:10 PM
lkt22

Agradecemos pela contribuição e por preocupar-se em ainda aplicar correções mesmo após tantos anos, Leandro. Abraço.
27/02/2021, 11:39 PM
LaMO

Citação:

Originally Posted by daldegam [Only registered and activated users can see links. Click Here To Register...]

Boa noite, tudo bem?
Leandro Daldegam aqui!

Muito tempo se passou desde que eu desenvolvi o MuSite.

Fui contactado hoje por um desenvolvedor chamado Leonardo Lana ([Only registered and activated users can see links. Click Here To Register...]), onde o mesmo me avisou de um problema de segurança existente no MuSite.

Após ele me mostrar onde estava a falha em questão, pedi o mesmo para enviar o patch de correção (pull request) para o repositório(github) do site que hoje é open source(código aberto).

Assim que ele enviou, aceitei a correção e fiz o merge.

Estou então avisando imediatamente para todas as pessoas que possivelmente utilizam o MuSite para que o atualizem imediatamente caso ainda estejam com ele em produção;

Como atualizar (explicação para leigos):
- Faça um backup do site que você está utilizando.
- Faça o download do conteúdo desse arquivo: [Only registered and activated users can see links. Click Here To Register...]
- Abra o diretório em que o site está instalado, e substitua o arquivo modules/classes/ldpaneluser.class.php pelo que você acabou de obter no link acima.
- Pronto, seu site estará atualizado.

Recomendo que acessem o repositório [Only registered and activated users can see links. Click Here To Register...] e usem o recurso "Watch" e também "Star" para ficarem sabendo de futuras atualizações de segurança por parte da própria comunidade.

Imagem de como ativar as opções:
[Only registered and activated users can see links. Click Here To Register...]

Caso não tenha cadastro no github basta se cadastrar, é gratuito.
O patch de segurança em questão foi:[Only registered and activated users can see links. Click Here To Register...]

Agradeço ao Leonardo Lana pelo aviso.

Abraços,
Leandro Daldegam

Não é atoa que é o melhor programador web que o MU Online já teve!

Agradeço pelo comprometimento com a comunidade...

Você poderia nos informar qual a função que foi corrigida? Modifiquei bastante o MuSite e preciso saber se ainda utilizo a função em questão.
27/02/2021, 11:46 PM
lkt22

FUNC: loadOptionsChangeClass()

Old code: SET Class="$_POST['newclass']."
New code: SET Class=".(int)$_POST['newclass']."

Edit: (...) quem tiver interesse pode acompanhar diretamente a alteração clicando [Only registered and activated users can see links. Click Here To Register...]
27/02/2021, 11:56 PM
LaMO

Citação:

Originally Posted by lkt22 [Only registered and activated users can see links. Click Here To Register...]

FUNC: loadOptionsChangeClass()

Old code: SET Class="$_POST['newclass']."
New code: SET Class=".(int)$_POST['newclass']."

Edit: (...) quem tiver interesse pode acompanhar diretamente a alteração clicando [Only registered and activated users can see links. Click Here To Register...]

Ah sim, felizmente eu não disponibilizei essa função pros meus clientes, nunca cheguei a olhar ela a fundo.
27/02/2021, 11:57 PM
alef666

lenda daldegam
28/02/2021, 12:20 AM
Strong

Lenda demais, DelmeX!
28/02/2021, 08:41 PM
Quest

Já ganhou uma nota de mim, grande profissional valeu Leandro.
31/03/2021, 03:47 PM
leolana

Valeu!!
Recentemente encontrei uma outra que é mais braba, e se repete no MuShopping e no EffectWeb também! Permite tomar o controle total do servidor (RCE). Sugiro conferirem no git!
Abs
01/04/2021, 12:39 AM
DarkMixMuOnline

Citação:

Originally Posted by leolana [Only registered and activated users can see links. Click Here To Register...]

Valeu!!
Recentemente encontrei uma outra que é mais braba, e se repete no MuShopping e no EffectWeb também! Permite tomar o controle total do servidor (RCE). Sugiro conferirem no git!
Abs

Explica Melhor pra nos sobre essas falhas , e qual o comando que faz pra da o acesso pra que nos possa bloquear tambem <3 <3
01/04/2021, 06:29 AM
ARBOK

entao porque nao mostra a falha ?
- ja que voce achou ou ta de zoação com a cara dos outro
01/04/2021, 08:51 AM
leolana

Já mostrei a falha, o PR já foi submetido e já está no git. Você não espera um tutorial de invasão, espera?
01/04/2021, 01:50 PM
Linkzr

Também não acho válido ensinar como é que faz a falha, até porque vai ter muito "nerdão" ai brincando com os servidores alheios...

Basta quem descobriu a falha enviar um pull request lá no GitHub pro @[Only registered and activated users can see links. Click Here To Register...] aprovar e verificar a modificação.
01/04/2021, 07:00 PM
andredeco

É lógico que ninguém vai explicar como ocorre a falha, como já disseram, ABESTADO é o que iria faltar
querendo zoar os usuários da Web.

@[Only registered and activated users can see links. Click Here To Register...] e @[Only registered and activated users can see links. Click Here To Register...]

Muito obrigado pela preocupação e por este suporte, fantástico!
01/04/2021, 08:04 PM
brunoDIE

é só colocar 1=1;
01/04/2021, 08:21 PM
russo1

Citação:

Originally Posted by leolana [Only registered and activated users can see links. Click Here To Register...]

Valeu!!
Recentemente encontrei uma outra que é mais braba, e se repete no MuShopping e no EffectWeb também! Permite tomar o controle total do servidor (RCE). Sugiro conferirem no git!
Abs

Boa noite!! Te enviei uma mensagem privada
Se possivel, retorne o contato :)
06/04/2021, 03:28 PM
DANRLLEY

DALDEGAM você é um MITO! pqp.

Eu e todos nois da comunidade agradecemos de coração por todo carinho e atenção!

Você é um grande homem, alem de ter passado anos (decada) sem trabalhar com o projeto, e mesmo assim ainda atualizou.

um grande abraço! de seu amigo danrlley.
08/04/2021, 01:29 PM
sampaforce

Muito Obrigado ao Mito Daldegam e ao Lana tbm por ter contribuido.