Vlákno názorů ke zprávičce Zranitelnost frameworku Nette se může týkat mnoha .CZ domén od D.J.Bobo - Njn, a co dělat v případě, že vývojář...

Njn, a co dělat v případě, že vývojář už několik let pracuje někde v cizině, aplikace dožívá, ale klient jí stále nenahradil ničím novým a nový správce tomu nerozumí ... a takových instalaci může být mnoho :-(

Muzes mi rict, v cem by se to lisilo, kdyby tech autoru byl dav?

Větší šance, že se někdo ujme, převezme vedení, nebo udělá úspěšný fork.

Vždyť patche jsou.

Problém jsou admini, co je nenasadí.

Bus factor? Dovolená? Vyhoření? Prostě redundance.

David Grudl uveřejnil rychlí fix v php, který stačí zavolit na existující instalaci, https://gist.github.com/dg/be0f26b31be15a2f1b1208a1714bf415, případně tu drobnou úpravu lze udělat přímo v kódu ručně. Pouze ošetřuje tenhle stav, aby se callback nezavolal.

Existuje také možnost tyhle url odchytnout na proxy na vstupu a nedovolit jejich zavolání. Tak jsme to my ošetřili obecně v infrastruktuře my u velkých firem. Stačí chytat argumenty callback v kombinací s cmd. V callbacku nesmí být věci jako shell_exec a další OS funkce.

Chyba se již zneužívá.

zaklad je dobre CI, potom muze patche nasazovat i nekdo jiny nez puvodni programator, jestli se tim neco rozbije, je velka sance, ze se na to prijde

20. 10. 2020, 14:04 editováno autorem komentáře