[RÉGLÉ] ALERTE Faille de sécurité détectée

[Nono9]

Sur la version 3.7.0 (upgradée, non native), même si le token Google Authenticator est activé (en Administration dans mon cas), on peut s'authentifier sans le renseigner et on accède à l'administration. Le plugin est pourtant bien actif.

A propos, y-a-t-il un canal plus discret pour faire remonter les failles de sécurité ?

Merci

[SimonG]

Re : ALERTE Faille de sécurité détectée

Bonjour,

le compte en question est-il bien paramétré pour la double authentification ?

A propos, y-a-t-il un canal plus discret pour faire remonter les failles de sécurité ?

Nous allons déjà voir s'il s'agit bien d'une faille de sécurité ):

[Nono9]

Re : ALERTE Faille de sécurité détectée

Oui. J'ai vérifié avant de faire le post. La double authentification fonctionnait bien avant la migration en 3.7.0.

[ced1870]

Re : ALERTE Faille de sécurité détectée

salut
le tracker se situe ici

https://issues.joomla.org/

tu peux déjà chercher pour voir s'il existe déjà un ticket pour ce probleme. Sinon tu peux poster pour remonter l'info
CEd

[pmleconte]

Re : ALERTE Faille de sécurité détectée

Bonjour,

J'ai effectivement constaté le problème.

Pour rétablir la double authentification, il faut aller sur l'utilisateur, désactiver la double authentification et la remettre.

Sur la 3.6, j'avais signalé un problème double authentification avec akeeba et je me suis fait "bouler" par les dev us, car cela venait du fof utilisé par akeeba qui est une extension externe https://github.com/joomla/joomla-cms/issues/12591

Pascal

[pmleconte]

Re : ALERTE Faille de sécurité détectée

Je suis en train de faire quelques tests et je me demande si ce n'est pas lié au bug Joomla qui a mis à mal akeeba ainsi que plusieurs autres extensions : https://www.akeebabackup.com/home/ne...i-scripts.html

Pascal

[pmleconte]

Re : ALERTE Faille de sécurité détectée

Résultat de quelques tests: mettez à jour akeeba backup avant mise à niveau en Joomla 3.7, comme cela a été recommandé par ghazal : https://forum.joomla.fr/showthread.p...ghlight=akeeba

Dans ce cas, la double authentification est bien "persistente".

Pascal

[Nono9]

Re : ALERTE Faille de sécurité détectée

J'ai fait les mises à jour dans l'ordre dans lequel elles sont arrivées...mais merci pour l'info.

[Nono9]

Re : ALERTE Faille de sécurité détectée

Effectivement, cela refonctionne à nouveau. En conclusion, après chaque évolution de version, vérifier que l'authentification en deux étapes est toujours active. Merci.

[pmleconte]

Re : ALERTE Faille de sécurité détectée

Le problème de la mise à jour d'akeeba est qu'elle est arrivée après la mise à jour officielle Joomla (il a fallu le temps qu'ils voient qu'il y avait un bug dans Joomla, puis de le corriger).

C'est un peu le problème de toutes mises à jour, il faut la tester avant de la mettre en production et, même en testant dans tous les sens, on finit par rencontrer quelques soucis...

J'avais testé avec les versions RC de Joomla et je n'avais pas remarqué non plus le dysfonctionnement et, pourtant, je "triture" bien le système avec mes petits modules/plugins.

La réactivité de l'équipe akeeba est tout de même à signaler, car c'est loin d'être évident.

vérifier que l'authentification en deux étapes est toujours active

pas uniquement, il faut tester un maximum de modules/extensions non standards...

Bonne journée,

Pascal