Joomla 3.4.7 est disponible -- mise à jour critique !

[SuperVespa]

Re : Joomla 3.4.7 est disponible -- mise à jour critique !

Suite mise à jour sur installé 3.4.6 neuve j'ai un composant pk FR-Fr

Salut Casper17,

Cela arrive lorsqu'on effectue une mise à jour simultanée des fichiers de langues et de AdminTools ou Akeeba. Il faut les faire l'une après l'autre pour éviter le problème (et virer les articles de menu de ces «faux composants» dans la base MySQL). J'ai également rencontré ce problème avec le module «Slideshow CK».

En savoir plus : http://forum.joomla.fr/showthread.php?203402-Composants-pkg-fr-fr

[Casper17]

Re : Joomla 3.4.7 est disponible -- mise à jour critique !

salut @SuperVespa

Cette Solution : désinstaller le package de langue FR et le réinstaller semble corriger le problème visuellement en tout cas.
tu penses que je dois faire autre choses coter BDD ?

Merci pour le lien

[manu33]

Re : Joomla 3.4.7 est disponible -- mise à jour critique !

merci superVespa,

effectivement c reparti !

[SuperVespa]

Re : Joomla 3.4.7 est disponible -- mise à jour critique !

tu penses que je dois faire autre choses coter BDD ?

Salut Casper17,

Si le menu «pkg fr-FR» n'est plus là après ton opération, il n'y a pas besoin d'intervenir dans la base de données.

[jej76]

Re : Joomla 3.4.7 est disponible -- mise à jour critique !

Bonjour à tous,
Mon site n'a pas été impacté par cette faille ayant fait la mise à jour aussitôt disponible, il y a bien eu quelques tentatives de hack en utilisant la chaîne "JDatabaseDriverMysqli" mais ces tentatives ont eu lieu après la mise à jour, du coup j'ai bloqué les adresses IP ayant lancé ces attaques. Là ou je m'inquiète c'est que ma version de PHP n'est pas à l'abri, j'utilise la version 5.5.30, mon hébergeur (OVH) met à disposition les versions 5.6 ou 7.0. Seulement voilà la version 5.6 est également vulnérable (voir le bulletin d'alerte détaillé du CERT-FR http://www.cert.ssi.gouv.fr/site/CER...051/index.html) et je crois que la version 7.0 n'est pas encore supportée par Joomla 3.4.7. Savez-vous quand on pourra utiliser la version 7.0 de PHP ?

[opware2000]

Re : Joomla 3.4.7 est disponible -- mise à jour critique !

Bonjour
Normalement si j'ai tout compris, la version 7 de php sera supporté par Joomla 3.5.0 qui sortira plutôt du côté de février.
La version 3.4.7 contient un patch qui bloque cette faille de php 5.6

[Casper17]

Re : Joomla 3.4.7 est disponible -- mise à jour critique !

Bonjour,

j'ai une question qui va surement faire peur ou me faire passer pour un gros navet...
Ou voyez vous que votre site se fait attaquer ?

[jej76]

Re : Joomla 3.4.7 est disponible -- mise à jour critique !

En examinant les logs de connexion, pour ce cas précis j'ai lancé une recherche (Ctrl+F) avec le terme "JDatabaseDriverMysqli" et ça me permet de repérer les adresses IP ayant utilisé cette chaîne puis de les bloquer via le .htaccess.

Bonjour,

j'ai une question qui va surement faire peur ou me faire passer pour un gros navet...
Ou voyez vous que votre site se fait attaquer ?

[jej76]

Re : Joomla 3.4.7 est disponible -- mise à jour critique !

OK merci, je vais donc passer en PHP 5.6 en attendant la disponibilité de Joomla 3.5.0

Bonjour
Normalement si j'ai tout compris, la version 7 de php sera supporté par Joomla 3.5.0 qui sortira plutôt du côté de février.
La version 3.4.7 contient un patch qui bloque cette faille de php 5.6

[cavo789]

Re : Joomla 3.4.7 est disponible -- mise à jour critique !

@jej76 : bloquer des IPs est comme vider la mer avec un dé à coudre. Tu auras toujours tant et plus d'IPs à bloquer.

[cavo789]

Re : Joomla 3.4.7 est disponible -- mise à jour critique !

ma version de PHP n'est pas à l'abri, j'utilise la version 5.5.30

Selon mes lectures, la version 5.5.29 reprenait déjà le patch. Ta version 5.5.30 est donc safe.

[jej76]

Re : Joomla 3.4.7 est disponible -- mise à jour critique !

@cavo789

Selon mes lectures, la version 5.5.29 reprenait déjà le patch. Ta version 5.5.30 est donc safe.

Oui, c'est ce que j'ai lu également "la cause est un bogue de PHP lui-même. Celui-ci a été corrigé par PHP en septembre 2015 avec les versions de PHP 4.5.45, 5.5.29, 5.6.13"

Mais sur le site du CERT-FR (http://www.cert.ssi.gouv.fr/site/CER...051/index.html) ils précisent ceci : "Afin d'être exploitée, cette vulnérabilité nécessite que la version de Joomla! soit inférieure ou égale à 3.4.5. De plus, elle ne peut être exploitée que si la version de PHP utilisée est inférieure ou égale à 5.6.12, elle-même exposée à la vulnérabilité CVE-2015-6835.

Cette vulnérabilité PHP permet de manipuler la désérialisation des éléments de session afin de charger des objets arbitraires. Le correctif associé concerne une vulnérabilité de type "utilisation après libération". Le durcissement du chargement des objets sérialisés n'est qu'un "effet de bord".

Je suis en 3.4.7 donc logiquement à l'abri mais comme je suis un peu parano (certainement à tort) je préfèrerai prendre les devants et utiliser une version de PHP non exploitable par les hackers.

[RobertG]

Re : Joomla 3.4.7 est disponible -- mise à jour critique !

Rien ne dit que des pirates ne vont pas trouver des failles dans PHP 7 !

[cavo789]

Re : Joomla 3.4.7 est disponible -- mise à jour critique !

Peut-être que CERT n'a pas 100% correct ici. J'ai lu à différents endroits que les trois versions de PHP évoquées plus haut étaient patchées et pas, uniquement, 5.6.13.

[Casper17]

Re : Joomla 3.4.7 est disponible -- mise à jour critique !

Je suis en 3.4.7 donc logiquement à l'abri mais comme je suis un peu parano (certainement à tort) je préfèrerai prendre les devants et utiliser une version de PHP non exploitable par les hackers.

c'est comme une voiture, tu peux avoir le dernier modèle, si tu fais pas l'entretien elle cafouille. Tu peux mettre ta ceinture ça n'évite pas l'accident =). Il faut faire tout aussi attention avec les versions trop "fraiche".