[Админам]

19 января 2013 г:

Компания SoftNews Media Goup, Inc сообщает о выходе критического обновления безопасности для программного обеспечения DataLife Engine версии 9.7.

Данное обновление устраняет все ранее обнаруженные для DataLife Engine версии 9.7 проблемы в безопасности.

Если вы ранее ставили патчи безопасности для версии 9.7, то установка данного обновления также настоятельно рекомендуется.

Для исправления скачайте и скопируйте на свой сервер патч: http://dle-news.ru/files/dle97_path.zip

В дополнение от выпущенных ранее патчей для версии 9.7, в данном патче используется более улучшенный алгоритм в фильтрации шаблонов, позволяющий устранить некоторые несовместимости со сторонними модулями и ряд некоторых других проблем, связанных исключительно с версией 9.7. А также был изменен алгоритм загрузки картинок, который больше не позволяет использование анимированных картинок .gif. Все загружаемые анимированные картинки! будут выводится в виде статических картинок. Данная мера является вынужденной и необходимой, в связи с рядом ограничений формата gif, который не позволяет в достаточной мере отфильтровать вредный код в картинках, единственным эффективным способом является только снятие поддержки анимации в данных картинках.

Обновление актуально для версий: 9.7. Если вы пользуетесь другой более ранней версией скрипта ставить данный патч не нужно, но убедитесь, что вы установили более ранние патчи безопасности http://dle-news.ru/bags/ для вашей версии скрипта.

Подробности на нашем сайте: http://dle-news.ru/bags/v97/1549-pat...versii-97.html

Обновленный патч безопасности устраняющий все обнаруженные ранее для версии 9.7 проблемы безопасности. В дополнение от выпущенных ранее патчей для версии 9.7, в данном патче используется более улучшенный алгоритм в фильтрации шаблонов, позволяющий устранить некоторые несовместимости со сторонними модулями и ряд некоторых других проблем, связанных исключительно с версией 9.7. А также был изменен алгоритм загрузки аватаров, который больше не позволяет использование анимированных картинок .gif. Все загружаемые анимированные картинки будут выводится в виде статических картинок. Данная мера является вынужденной и необходимой, в связи с рядом ограничений формата gif, который не позволяет в достаточной мере отфильтровать вредный код в картинках, единственным эффективным способом является только снятие поддержки анимации в данных картинках.

Ошибка в версии: только 9.7.

Степень опасности: Высокая

Патч в аттаче

Originally Posted by Smalesh

Данная мера является вынужденной и необходимой, в связи с рядом ограничений формата gif, который не позволяет в достаточной мере отфильтровать вредный код в картинках, единственным эффективным способом является только снятие поддержки анимации в данных картинках.

Т.е. аватары в vbulletin, где эта анимация нормально грузится, опасны по-умолчанию? Или в DLE как обычно просто перепугались ?
Понятно, что тут несколько звезд должны совпасть - нужна неправильная настройка сервера позволяющая выполнять этот опасный код в gif.

Originally Posted by netwind

Т.е. аватары в vbulletin, где эта анимация нормально грузится, опасны по-умолчанию?

kerk уже пояснял как-то, что полностью обезопасить можно только заново пересохранив файл.

А также был изменен алгоритм загрузки аватаров, который больше не позволяет использование анимированных картинок .gif. Все загружаемые анимированные картинки будут выводится в виде статических картинок. Данная мера является вынужденной и необходимой, в связи с рядом ограничений формата gif, который не позволяет в достаточной мере отфильтровать вредный код в картинках, единственным эффективным способом является только снятие поддержки анимации в данных картинках

о как
чем анимация то не угодила ДЛЕ-шникам?
загружаем картинку во временную дир. и сохраняем в каталоге аватар новый файл из временного
весь "вредоносный код" из файла удаляется

Originally Posted by kerk

о как

Dle все все делают последними...

Originally Posted by kerk

чем анимация то не угодила ДЛЕ-шникам?

Ну мб потому что у них при проверке файл расширения .gif - оно грузилось как есть, т.е. php код в файле оставался и не подвергался изменениям и был доступен для инклуда в рабочем состоянии.

Originally Posted by kerk

загружаем картинку во временную дир. и сохраняем в каталоге аватар новый файл из временного
весь "вредоносный код" из файла удаляется

Это интересно как, если при функции copy() не изменяется содержимое, хоть 100500 раз скопируй.
Другое дело уменьшить файл хотябы на 0.0000000000001 пикселя, тогда код изменится и пхп код в файле попортится.

Originally Posted by StenLi

тогда код изменится и пхп код в файле попортится.

И в случае с gd прощай анимация.

Originally Posted by StenLi

если при функции copy() не изменяется содержимое, хоть 100500 раз скопируй.

а кто говорил, что используется функция copy() ?
я создаю новую картинку из той, что загружена во временный каталог

PHP Code:

if(!$srcImg = @imagecreatefromgif($uploadinfo['temp_location']))
{
      return false;
} 


ну и дальше идет обработка созданного сорса

Originally Posted by kerk

а кто говорил, что используется функция copy() ?
я создаю новую картинку из той, что загружена во временный каталог

Видимо я о своем задумался, в таком случае да, какерских код не пройдет!