Перейти к содержимому


Фотография

IP.Board 3.3.x-3.4.x and IP.Gallery 4.2.x-5.0.x Security Update


  • Авторизуйтесь для ответа в теме
Сообщений в теме: 2

#1 Оффлайн   IpbZona Bot

    Пользователь


  • Пользователи
  • Репутация
    1
    • Cообщений: 29

Отправлено 25 Сентябрь 2013 - 23:30

We are releasing security patches for IP.Board 3.3.4, IP.Board 3.4.5, IP.Gallery 4.2.1 and IP.Gallery 5.0.5 to address four cross-site scripting issues recently reported to us.

 

It has come to our attention that an unpatched security issue exists in a third party script included with the IP.Board release called "Flowplayer".  While this script is included with IP.Board, it is presently only utilized by IP.Gallery to facilitate embedding of certain media files when the administrator allows them to be uploaded.  The exploit that has been reported to us may expose a specific type of cross-site scripting vulnerability through Flowplayer and requires a certain level of user-interaction to trigger (in other words, a user must follow a link to the affected target - to our knowledge this issue cannot be triggered automatically by viewing a page normally accessible through typical navigation of the software).

It has come to our attention that an unpatched security issue exists in a third party script included with the IP.Board release called "swfupload".  The cross site scripting vulnerability, like the one described above, requires a user to visit a specially crafted link to the swfupload flash file directly, where-by arbitrary javascript may be executed.

It has come to our attention that two potential cross site scripting vulnerabilities exist within the IP.Board editor routines.  These vulnerabilities are not persistent (meaning you can only trigger them against yourself, as opposed to causing them to be stored in the database and triggered against another user), however we feel that it is in the best interests of our clients to release an update to address the issues reported.


We are releasing patches today to address all four issues.  

 

To apply the patch, please perform the following steps:

  • Identify which version of IP.Board you are running.  If you are running IP.Board 3.3.x, you will also need to identify which version of IP.Gallery you are running.
  • Download the appropriate patch file below
  • Extract the contents locally on your computer
  • Upload the contents of the "upload" folder to your forum root directory (where conf_global.php is located), overwriting any files when prompted. Please refer to

    Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытое содержание

    if you are unfamiliar with using FTP to transfer files to your server.

 

If you are an IPS Community in the Cloud customer running IP.Board 3.3 or above, no further action is necessary; we have already automatically patched your account. If you are using a version older than IP.Board 3.3, you should contact support to upgrade.
 

 

If you are running IP.Board 3.4.x, please use the following zip:

Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытое содержание

 

Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытое содержание

  79.87KB  9 downloads

If you are running IP.Board 3.3.x without IP.Gallery, or with IP.Gallery 5.0.x, please use the following zip:

Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытое содержание

 

Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытое содержание

  85.32KB  0 downloads

If you are running IP.Board 3.3.x with IP.Gallery 4.2.x, please use the following zip:

Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытое содержание

 

Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытое содержание

  84.91KB  1 downloads

 

As of the time of this post, the full IP.Board and IP.Gallery packages in our client center have been updated.

If you are running any version of IP.Board or IP.Gallery that is not listed above, we recommend that you upgrade to the latest version to obtain these security fixes, as well as several other security and bug fixes.



We would like to thank Sahil Saif for bringing the flowplayer vulnerability to our attention.

We would like to thank Masato Kinugawa for bringing the swfupload vulnerability to our attention.

We would like to thank Jakub at

Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытое содержание

for bringing the editor vulnerabilities to our attention.     


Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытое содержание



Заработок и обучение заработку

#2 Оффлайн   lg29

    Знающий


  • Пользователи
  • Репутация
    92
    • Cообщений: 927
    • Форум:3.3.х
    Участник

Отправлено 26 Сентябрь 2013 - 09:46

Ребят переводить в лом (в англиском шарю, но тяжко) кто быстро понимает скажите где дырку нашли? Эти обновления проверяли уже ставить можно?



#3 Оффлайн   gabarit

    Новичок


  • Пользователи
  • Репутация
    0
    • Cообщений: 0
    • Форум:3.3.х

Отправлено 29 Сентябрь 2013 - 16:34

Обновление IP.Board 3.3.x-3.4.x и IP.Gallery 4.2.x-5.0.x

 

 

[test]Компания InvisionPower опубликовала обновление для версий IP.Board 3.3.x и 3.4.х решающий проблему безопасности внешней библиотеки "Flowplayer", используемого при обработке загруженного медиа. Библиотека плеера flowplayer используется в IP.Gallery и в некоторых процедурах редактора сообщений. 

Патч не затрагивает файлы локализации и может быть установлен с сайта компании-разработчика без изменений.[/test]


Сообщение отредактировал gabarit: 29 Сентябрь 2013 - 16:36