WHMCS 5.2.7 exploit - aktualizujcie

[Zoel 9]

Exploit na WHMCS 5.2.7 - aktualizujcie (łata wydana) póki macie co

 

http://localhost.re/p/whmcs-527-vulnerability

Edytowano Październik 4, 2013 przez Zoel (zobacz historię edycji)

[Gość patrys]

Firmy używające podobnego softu powinny korzystać z dobrego WAF'a...

[Marek607 655]

Wczoraj o 23:10 dostałem maila i puściłem aktualizacje w nocy - po ostatniej wpadce solusvm człowiek dmucha na zimne

[Dawid Golak 0]

Aktualizacja to podstawa działania na tego typu oprogramowaniach, jednak jak pisze przedmówca dobry WAF gdy jest odpowednio wdrożony daje dodatkowy czas na aktualizację soft'u

[Misiek08 285]

Tak troszeczkę zofftopuje: Czy np. taki https://github.com/nbs-system/naxsi ma rację bytu i dużo pomaga?

 

Nie hostuję nikomu systemów z wrażliwymi danymi, a swoje rozwiązania mam najczęściej autorskie, więc w temacie WAFów nie mam za dużo do powiedzenia.

[Pan Kot 1535]

Pomaga, tyle że w kwestii samego nginxa. Od skryptu zależy z jakiej dziury korzysta exploit i niekoniecznie naxsi może tutaj coś pomóc, jeśli skrypt jest dziurawy.

 

Ale z racji, że security polega na dokładaniu kolejnych warstw "ochrony" to szczerze polecam.

[Gość patrys]

Pomaga, można z Haproxy i Nginx zrobić dość fajny firewall dla serwerów WEB.

[Marek607 655]

 

Thank you for bring this up and we have confirmed this is legitimate. Currently we are working towards a resolution and are just waiting for the testing to complete. We have published a post on this here http://blog.whmcs.com/?t=80206 I would recommend keeping an active eye on http://blog.whmcs.com/ as we will push more information to this as we get it including patch information. Furthermore, I will update this ticket once I have more information to relay. Again thank you so much for your cooperation, patience and understanding in this time for us!

 

[Marek607 655]

Update: fix wydany, trzeba aktualizować

 

http://blog.whmcs.com/security.php

[Gość solit]

I kolejny błąd:

http://localhost.re/p/whmcs-v5210-vulnerability

 

Łata:

http://blog.whmcs.com/?t=80615

[tym 205]

Zaczyna być to denerwujące...

[Marek607 655]

Dzisiaj wydali 2 łatki - najpierw z 5.2.10 do 5.2.11 i za 3-4 godziny do 5.2.12.

 

Odnośnie dziury opisanej na localhost.re to kilka godzin po opublikowaniu kazali poprostu wyłączyć masowe opłacanie faktur do czasu wydania łatki.

 

 

[mikorol 16]

Hej...

Panowie i Panie może obstawiamy ile będzie aktualizacji do końca miesiąca? 3-4?

Jak tak dalej pójdzie to WHMCSa za darmo nikt nie będzie chciał...

Edytowano Październik 25, 2013 przez mikorol (zobacz historię edycji)

[www.mzone.uk 1200]

HostBill też co chwilę wydaje łatki....

[PapaSmerf 497]

@Irek, ale taki błąd:

 

 

I decided to give WHMCS a chance to patch this. The first part of this vulnerability:

• Login as a client.
• Start your quest at /clientarea.php?action=masspay&invoiceids[]=1&invoiceids[]=2

This will allow you to access any invoice, even if you don't own it.

If you've got what it takes, you'll find out how to exploit this further and get some real database access.hint: geninvoice

 

to jednak moim zdaniem oprogramowanie - jak dla mnie - wykreśla z listy. Z punktu widzenia programisty, widząc taki błąd, aż strach pomyśleć co tam może siedzieć.

 

Uh, jak to dobrze, że z branżą hostingową mam tylko związek jako klient, widzę, że to naprawdę ciężki kawałek chleba.

 

[HaPe 242]

Hostbill powala cenę w obecnych realiach. Sam żałuję, że gdy był tańszy to jednej licki nie kupiłem.

[Miłosz 2311]

Panowie i Panie może obstawiamy ile będzie aktualizacji do końca miesiąca? 3-4?

A po co? Wydadzą tyle łatek ile będzie potrzebnych. Jak będą musieli wydać 50, to tyle wyjdzie.

[www.mzone.uk 1200]

@Irek, ale taki błąd:

 

WHMCS używa połowa zachodniego świata,w zasadzie są bezkonkurencyjni. Wydanie tak szybko łatek tylko dobrze o nich świadczy, nie ma idealnego oprogramowania, więc błędy zawsze się pojawią w produkcji aplikacji.

 

Przysłowie mówi:

 

Ten się nie myli, kto nic nie robi.

 

[PapaSmerf 497]

WHMCS używa połowa zachodniego świata,w zasadzie są bezkonkurencyjni. Wydanie tak szybko łatek tylko dobrze o nich świadczy, nie ma idealnego oprogramowania, więc błędy zawsze się pojawią w produkcji aplikacji.

 

To, że coś jest popularne nie znaczy, że jest dobre. Zaczniemy się rozmnażać w fekaliach? Miliardy milionów much nie może się mylić Akurat wiem, że WHMCS to najpopularniejszy soft tego typu.

 

Ale:

- są bardziej narażeni na wszelakie próby złamania zabezpieczeń

- wydawanie łatek szybkie, jest dobre i tutaj ogromny plus dla nich

- taki błąd, jak ten zacytowany przeze mnie, pokazuje tylko, że bardzo słabo u nich z testami - takie coś powinno być wyłapane przez testy jednostkowe i funkcjonalne.

 

Widząc coś takiego:

/clientarea.php?action=masspay&invoiceids[]=1&invoiceids[]=2

co umożliwia Ci dostęp do wszelkich faktur, naprawdę można się zastanowić co tam w kodzie siedzi. I mówię tu bez żadnej ironii. Tutaj akurat jest to ogromny argument dla oprogramowania open-source, w którym błędy są, ale za to znane

 

 

Hej...

Panowie i Panie może obstawiamy ile będzie aktualizacji do końca miesiąca? 3-4?

Jak tak dalej pójdzie to WHMCSa za darmo nikt nie będzie chciał...

 

Przesadzasz, z dwóch powodów:

- pierwszy, patrz wyżej

- drugi, lepiej, że takie łatki są i wydawane są bardzo szybko. Zrobić update jednej instancji to nie problem.

 

Edytowano Październik 26, 2013 przez pedro84 (zobacz historię edycji)

[www.mzone.uk 1200]

Ale:

- są bardziej narażeni na wszelakie próby złamania zabezpieczeń

- wydawanie łatek szybkie, jest dobre i tutaj ogromny plus dla nich

- taki błąd, jak ten zacytowany przeze mnie, pokazuje tylko, że bardzo słabo u nich z testami - takie coś powinno być wyłapane przez testy jednostkowe i funkcjonalne.

 

Nie wiem jak mają rozwiązane testowanie nowych wersji, jednak czasami błędy się zdarzają.

 

/clientarea.php?action=masspay&invoiceids[]=1&invoiceids[]=2

 

Chyba nie działa w tej najnowszej wersji ...

[tym 205]

 

- drugi, lepiej, że takie łatki są i wydawane są bardzo szybko. Zrobić update jednej instancji to nie problem.

 

 

No właśnie, problem jak masz 5, w sensie nie tyle co problem, co wkurza łatanie co pare dni, no ale bezpieczeństwo przede wszystkim

[PapaSmerf 497]

 

No właśnie, problem jak masz 5, w sensie nie tyle co problem, co wkurza łatanie co pare dni, no ale bezpieczeństwo przede wszystkim

 

A to z tym się zgodzę

[www.mzone.uk 1200]

HB ma ładnie rozwiązane system updatowania, wystarczy kliknąć i wszystko samo się robi, tam więc instalacja łatki nie wiąże się nawet z logowanie na FTP. Szkoda że WHMCS nie stosuje takiego rozwiązania, byłoby znacznie łatwiej przy tak częstych updateach.

[kix 28]

Ta, wielka szkoda, szczególnie, że większość poprawek powoduje błędy.

 

A co do "nie ma idealnego oprogramowania, więc błędy zawsze się pojawią w produkcji aplikacji." to polecam przejrzeć kod tych exploitów - błędy w WHMCSie są tak trywialne, że szok (własna implementacja register_globals to po prostu "cudo").

To oprogramowanie to żart, a nie system bilingowy - brak pdo, kod na poziomie 13latka, błędy w funkcjonalnościach poprawiane pół roku (np listowanie klientów), żenujący poziom dokumentacji (szczególnie tej od API).