J2.5 - aiContactSafe - Alerte de sécurité

[cavo789]

Bonjour

Post informatif : si vous avez encore des vieux sites, non migré sur J3 et qui utilisent l'extension aiContactSafe, attention, une faille de sécurité a été publiée et permet l'upload de scripts php sur le site. C'est donc une faille sévère !

Si vous n'êtes pas utilisateur de aiContactSafe, vous n'êtes pas concerné.

Voir le billet suivant pour plus d'infos : http://www.aide-joomla.com/actualite...-aicontactsafe

Remarque : aiContactSafe semble être une extension abandonnée, n'ayant jamais été migrée vers J3.

[RobertG]

Re : J2.5 - aiContactSafe - Alerte de sécurité

Pour info, il existe une version non officielle compatible J3, disponible sur le forum Algis. Reste à savoir si elle est elle aussi concernée par cette faille.

[cavo789]

Re : J2.5 - aiContactSafe - Alerte de sécurité

Merci pour l'info.

Pour protéger le dossier /media/aicontactsafe/attachments (visé par la faille), il suffit d'y créer un fichier .htaccess avec des lignes de code qui interdisent l'exécution de scripts; voici un exemple :

# secure directory by disabling script execution
AddHandler cgi-script .php .pl .py .jsp .asp .sh .cgi
Options -ExecCGI

##Deny access to all CGI, Perl, PHP and Python
<FilesMatch "\.(asp?x|cgi|php|pl|py)$">
Deny from all
</FilesMatch>

(à mettre dans un fichier .htaccess qu'il faut créer pour l'occasion)

[RobertG]

Re : J2.5 - aiContactSafe - Alerte de sécurité

Merci Christophe !

Pour info, le dossier en question contient déjà, en version compatible J3, le code suivant :

# Note: Having a .htaccess prevents users from directly
# accessing the files in your attachments folder

deny from all

[sarki]

Re : J2.5 - aiContactSafe - Alerte de sécurité

Hello à vous,
Me fait plaisir de vous lire, cela fait un moment que je n'ai plus le temps de venir sur le forum en raison de mes problèmes de santé liés à mon accident de l'année dernière...

Pour en revenir à aiContactSafe, la vidéo du hacker traite de la version 2.0.20 qui était connue en effet pour avoir eu des failles qui ont été corrigées dans la version 2.0.21
Je propose une version 2.0.21c sur le site de Joomlatutos que j'avais adapté en ajoutant des styles de mise en page et une aide en français. Je viens de vérifier l'installation de cette version et je vois que le fichier .htaccess est bien créé dans le dossier "/media/aicontactsafe/attachments" avec le contenu signalé par Robert :

# Note: Having a .htaccess prevents users from directly
# accessing the files in your attachments folder
deny from all

Peux-tu me dire si c'est suffisant Christophe ?

[Visiteur]

Re : J2.5 - aiContactSafe - Alerte de sécurité

Pour en revenir à aiContactSafe, la vidéo du hacker traite de la version 2.0.20 qui était connue en effet pour avoir eu des failles qui ont été corrigées dans la version 2.0.21
Je propose une version 2.0.21c sur le site de Joomlatutos que j'avais adapté en ajoutant des styles de mise en page et une aide en français. Je viens de vérifier l'installation de cette version et je vois que le fichier .htaccess est bien créé dans le dossier "/media/aicontactsafe/attachments" avec le contenu signalé par Robert :

Bonsoir,

je viens de faire plusieurs tests de version et la version 2.0.21c ne comporte pas les failles SQL et RFI, pour le htaccess installé par l'extension il est amplement suffisant.

Reste que les infos sont difficiles à trouver avec cet éditeur et la gestion de ses versions est disons pas terrible.

[cavo789]

Re : J2.5 - aiContactSafe - Alerte de sécurité

Bonsoir

Super Mihàly, quel réel plaisir de te revoir sur notre forum et, surtout, toujours aussi souriant ;-)

Oui, le .htaccess "deny from all" est une protection hyper solide, bien plus que celle que j'ai proposée : mon fichier .htaccess bloquait l'accès aux scripts mais autorisait p.ex. à utiliser une image qui aurait été stockée dans ce dossier. Ne sachant pas quelle est l'utilisation faite du dossier /attachments, j'ai joué la sécurité en ne bloquant pas tout.

Si le programmeur de l'extension suggère un deny from all; oui, c'est ce qu'il y a de mieux à faire.

Ce matin, j'avais déjà modifié mon logiciel de sécurité pour contrer cette faille; je vais moi aussi faire un deny pour aiContactSafe.

Une bien belle soirée à tous.