PhenixTweet

56 minutes

a répondu au Message de nelson - 56 minutes

Bonjour, et pour un serveur dédié en PHP 7.4 chez ovh svp ?

3 h.

a répondu au Message de Eolia - 3 h.

Merci beaucoup Eolia !

10 h.

a répondu au Message de Eolia - 10 h.

In this case, please check and, if necessary change, the CustomerMessage.php of the actual version because at least in v.46 it is 'validate' => 'isMessage'

13 h.

Ca chauffe dans les services admin server^^

La cellule Sûreté m'a appelé ce matin à 6h12.

« Patchons immédiatement tous les serveurs PHP. »

J'ai demandé ce qui s'était passé.

« Deux vulnérabilités critiques. Exécution de code à distance. Aucune authentification requise. »

Génial.

Combien de serveurs PHP avons-nous ?

Selon l'inventaire : 12

Selon la réalité :

Personne ne le sait.

Nous en avons trouvé un qui fait tourner WordPress.

Trois qui gèrent d'anciens outils internes.

Un sous le bureau de quelqu'un.

Deux dans des appareils de fournisseurs.

Un répertoire d'employés oublié de 2016.

Et un serveur nommé :

PHP-OLD-DO-NOT-TOUCH

Bien sûr, c'est celui qui gère la paie.

Ensuite, nous avons trouvé une machine PHP-5.6.

J'ai demandé à qui elle appartenait.

La documentation indiquait :

BRIAN.

Brian est parti en 2019.

Nous avons appelé Brian.

Il a dit :

« Oh putain, il tourne encore ? »

Excellent.

À 8 heures du matin, la direction a rejoint l'appel d'incident.

PDG :

« Les hackers peuvent vraiment entrer ? »

Sûreté :

« Potentiellement oui. »

PDG :

« Sans mot de passe ? »

Sûreté :

« Oui. »

PDG :

« Pourquoi on a besoin de MOTS DE PASSE, nous, alors ? »

Belle leçon.

Le département financier a demandé si on ne pouvait pas attendre le week-end pour appliquer les correctifs, parce que les pannes affectent le chiffre d'affaires.

La cellule Sûreté a expliqué que l'alternative consistait à laisser des étrangers exécuter du code sur nos serveurs.

Le département financier a exigé un comparatif des coûts.

À 9h17, quelqu'un a proposé de mettre temporairement hors ligne les sites vulnérables.

Le marketing a refusé.

« Notre campagne est en direct. »

Donc, l'entreprise a officiellement décidé dans l'heure suivante que le maintien d'une landing page pour 20 % de réduction sur les inscriptions aux webinaires était plus important que la prévention d'une prise de contrôle à distance des serveurs.

Nous avons finalement patché tout ce que nous avons pu trouver.

Puis notre scanner a détecté un autre serveur PHP.

Nom d'hôte :

TEMP-PHP-2014

Durée de fonctionnement :

4 512 jours.

Personne ne sait ce qu'il fait.

Personne ne le possède.

Personne ne peut l'éteindre.

Mais à chaque fois qu'on bloque l'accès réseau, l'entrepôt arrête d'imprimer les étiquettes d'expédition.

La cellule Sûreté l'a classé comme infrastructure critique.

Il tourne sous PHP 5.4.

La vulnérabilité existe depuis plus longtemps que la moitié de nos employés.

Le correctif d'urgence a pris quatre heures.

Comprendre ce que PHP fait vraiment a pris onze heures.

Internet n'est pas tenu ensemble par du code.

Il est tenu ensemble par des serveurs que tout le monde a peur d'éteindre.

13 h.

a répondu au Message de Pilou - 13 h.

mettez à jour le module (dans votre espace client => téléchargements)

13 h.

a répondu au Message de BigM - 13 h.

Yes, set isCleanHtml for this validate.

20 h.

In the current version (and some before) there is an error in the logs when sending an order message from the BO with a predefined message.
"Error on validateField: Property CustomerMessage->message is not valid"
Messages are sent to the customer, visible in BO and FO, so nothing dramatical, but the error log is there.
In an old test installation (v.39) this does not happen.
I compared the CustomerMessage.php of old and new.
In the new one it is 'validate' => 'isMessage' and in the old 'validate' => 'isCleanHtml'
Validate.php in line 390 checks "Validate::isCleanHtml" in both versions.

22 h.

a répondu au Message de Yoann - 22 h.

Je te conseille de passer au moins en php 7.4.
il existe patch officiel à partir de php 7.4.
Pour les versions avant 7.4, c'est juste un correctif sur session.upload_progress.enabled, qui semble n'être que "partiel"

24 h.

a répondu au Message de Pilou - 24 h.

En activant le debug, j'ai ce message en BO:

Unknown error à la ligne 77 du fichier /home/****/public_html/modules/gdprcompliancy/classes/GdprCompliancyCompliant.php
[8192] Optional parameter $id_gdpr declared before required parameter $id_shop is implicitly treated as a required parameter

Warning à la ligne 993 du fichier /home/****/public_html/modules/mollie/mollie.php
[2] Trying to access array offset on value of type bool

Warning à la ligne 993 du fichier /home/****/public_html/modules/mollie/mollie.php
[2] Trying to access array offset on value of type bool

1 jour

Bonjour,
En voulant mettre à jour un article, en sauvegardant, j'ai eu ce message. J'ai essayé sur plusieurs articles et ça ma fait le même message

1 jour

a répondu au Message de nelson - 1 jour

Ok merci, je suis encore en 7.3 mais d‘après ta réponse OVH a patché du coup je laisse comme ça :)

1 jour

a répondu au Message de Yoann - 1 jour

D'après ce que j'ai compris oui.
Je l ai constaté sur php 5.6, 7.1 et 7.4.
Tu peux vérifier avec le php info : Paramètres>Informations > voir le phpinfo

1 jour

a répondu au Message de Pilou - 1 jour

Si votre hébergeur a mis à jour ses versions PHP vous n'avez rien à faire.

2 jours

a répondu au Message de nelson - 2 jours

Pour tout les mutualisés peu importe la version PHP ? Merci

2 jours

Pour ceux qui sont en 8.2.XX sur debian , la version 8.2.35 est dispo avec votre gestionnaire de paquet habituel.

2 jours

a répondu au Message de Eolia - 2 jours

Bon pour une fois, OVH a été rapide et a déjà passé le session.upload_progress.enabled en Off sur les mutualisés ;-)

2 jours

Je suis en 8.2.
Parce que patcher le php, je suis pas certain d'y arriver..

2 jours

a répondu au Message de Pilou - 2 jours

Patchez votre PHP avec cette ligne dans la config:

session.upload_progress.enabled = Off

Ou mettez à jour votre version PHP si >= 8.2

2 jours

Bonjour à tous,
On doit faire quelque chose pour nos boutiques concernant les failles PHP2SHELL svp ?

3 jours

Bonjour à tous moi nickel si ce n'est un petit souci vite résolu avec allBlocks, je fonctionne qu'avec ce module pour slider et bannière merci Eolia ! Du coup tt avait disparu j'ai bidouillé sur allblocks.php !

Atchworks @atchworks

3 jours

a répondu au Message de herve_02 il y a 3 jours

Quel problème as tu ?
En v47, il y avait un petit bug contournable qui a été corrigé. Je suis en V48, le module fonctionne chez moi.

herve_02 @herve_02

4 jours

Quelqu'un a un souci avec mondial relay ? Je suis toujours en v36

4 jours

a répondu au Message de Eolia - 4 jours

ok effectivement , il était visible nulle part , c'est pourquoi j'avais demandé hier si d'autres paramètres pouvaient empêcher la redirection, la visibilité en est 1. Merci

4 jours

a répondu au Message de eric - 4 jours

Ok, et la catégorie parente (catégorie par défaut du produit) est bien active ?
Le produit était bien visible "partout" ?
je viens de tester et la redirection est bien active:
https://presta.devcustom.n...

4 jours

a répondu au Message de Eolia - 4 jours

Comme indiqué , la redirection est vers la catégorie parente ( choix dans la liste déroulante ) qui est active.

5 jours

a répondu au Message de Pilou - 5 jours

Curieux, videz tous les cookies de votre navigateur car à mon avis il en a gardé des anciens invalides.

5 jours

a répondu au Message de eric - 5 jours

302 vers quoi ? catégorie ? Produit ? la cible est active ?

5 jours

bonsoir ,j'ai un produit non actif redirigé vers la catégorie parente en 302 , en regardant mes logs apache , je me suis aperçu que des requête vers l'url du produit renvoyaient 404 , j'ai testé avec l'url de la page SEO et j'obtiens aussi 404. Il y a d'autres paramètres à mettre pour activer la redirection 302 ?

5 jours

a répondu au Message de Eolia - 5 jours

5 jours

a répondu au Message de yoyo64 - 5 jours

Non, pas du tout. Evitez de dire aux gens d'aller dans le ftp quand c'est inutile. Toutes les IPs bannies et la raison sont visibles dans Paramètres avancés => Performances & Sécurité