1.1.2 & 1.2 Security Update

[IgorekM]

Matt сообщил о новых "дырах" в системе безопасности форума

Выпущены обновления системы безопасности для версии 1.1.2 и 1.2

Качать для версии 1.1.2 здесь

Для версии 1.2RC1 здесь

 

В архивах 2 файла - functions.php и Memberlist.php

Если вы не устанавливали никаких хаков, просто замените эти 2 файла в своих форумах.

Если устанавливали хаки, то сделайте следующее:

Для версии 1.1.2

Откройте файл functions.php и найдите кусок кода:

        if ( $ibforums->input['act'] == 'Reg' or $ibforums->input['act'] == 'Attach' )
       {
      	 return $this->member;
       }
       
       $this->ip_address = $ibforums->input['IP_ADDRESS'];
       $this->user_agent = substr($HTTP_USER_AGENT,0,50);
       $this->time_now   = time();

 

Замените на:

        if ( $ibforums->input['act'] == 'Reg' or $ibforums->input['act'] == 'Attach' )
       {
      	 return $this->member;
       }
       
       $HTTP_USER_AGENT = $std->clean_value($HTTP_USER_AGENT);
       
       $this->ip_address = $ibforums->input['IP_ADDRESS'];
       $this->user_agent = substr($HTTP_USER_AGENT,0,50);
       $this->time_now   = time();

 

Далее откройте файл Memberlist.php и найдите:

$ibforums->input['name'] = trim(urldecode(stripslashes($ibforums->input['name'])));

 

Замените на:

$ibforums->input['name'] = $std->clean_value(trim(urldecode(stripslashes($ibforums->input['name']))));

 

Сохраните изменения и загрузите оба файл по своим местам.

 

Для версии 1.2RC1 проделать следующее:

Откройте functions.php и найдите:

        if ( ($ibforums->input['act'] == 'Reg' AND $ibforums->input['CODE'] != 'reval')  or $ibforums->input['act'] == 'Attach' )
       {
      	 return $this->member;
       }
       
       $this->ip_address = $ibforums->input['IP_ADDRESS'];
       $this->user_agent = substr($HTTP_SERVER_VARS['HTTP_USER_AGENT'],0,50);
       $this->time_now   = time();

 

Замените на:

        if ( ($ibforums->input['act'] == 'Reg' AND $ibforums->input['CODE'] != 'reval')  or $ibforums->input['act'] == 'Attach' )
       {
      	 return $this->member;
       }
       
       $HTTP_SERVER_VARS['HTTP_USER_AGENT'] = $std->clean_value($HTTP_SERVER_VARS['HTTP_USER_AGENT']);
       
       $this->ip_address = $ibforums->input['IP_ADDRESS'];
       $this->user_agent = substr($HTTP_SERVER_VARS['HTTP_USER_AGENT'],0,50);
       $this->time_now   = time();

 

Откройте Memberlist.php и найдите:

$ibforums->input['name'] = trim(urldecode(stripslashes($ibforums->input['name'])));

 

Замените на:

$ibforums->input['name'] = $std->clean_value(trim(urldecode(stripslashes($ibforums->input['name']))));

 

Всё. Можете спать спокойно

Если кто-то собирается только скачать форум, в архиве с форумом уже всё исправлено.

[theIggs]

Я устанавливал хаки. IgorekM, спасибо.

[-=Женек=-]

И в чем же механизм этой дыры выражается? Чем опасна? Я не собираюсь взламывать кого либо, но все же интересно.

[j0k3r]

Глупый вопрос: а 1.1 Final патчить надо?