[ВАЖНО] Как избежать взлома на версиях phpBB до 3.3.17

[rxu]

Как уже известно из новостей о выходе phpBB 3.3.17, все версии до указанной (вплоть до 3.1.0) подвержены уязвимости, связанной с возможностью простого обхода авторизации и входа с использованием только имени аккаунта (без пароля) любого пользователя. Включая администратора или модератора. Злоумышленники смогут произвести любые действия от имени такого пользователя, на которые у этого пользователя есть соответствующие права, за исключением входа в админраздел.
Уязвимость найдена с помощью ИИ.

Чтобы предотвратить данный сценарий до того, как появится возможность обновить конференцию, необходимо:

1. Отключить аутентификацию OAuth в админразделе (Главная страница админраздела - Средства связи - Аутентификация).
2. Отредактировать файл \config\default\container\services_auth.yml, удалив блоки

   Код: Выделить всё

       auth.provider.apache:
           class: phpbb\auth\provider\apache
           arguments:
               - '@config'
               - '@dbal.conn'
               - '@language'
               - '@request'
               - '@user'
               - '%core.root_path%'
               - '%core.php_ext%'
           tags:
               - { name: auth.provider }
   
       auth.provider.ldap:
           class: phpbb\auth\provider\ldap
           arguments:
               - '@config'
               - '@dbal.conn'
               - '@language'
               - '@user'
           tags:
               - { name: auth.provider }
   

3. Удалить с сервера следующие файлы:
   • /phpbb/auth/provider/apache.php
   • /phpbb/auth/provider/ldap.php
4. Очистить кэш конференции.

[Shredder]

Так и знал, что этот ИИ чё-нибудь такое там обнаружит.

[Nekstati]

Можно исправить без отключения функций и удаления файлов - так же, как оно исправлено в последней версии:

Код: Выделить всё

// открыть файл
includes\ucp\ucp_login_link.php
// найти строку
		$auth_provider = $provider_collection->get_provider($request->variable('auth_provider', ''));
// заменить на
		$auth_provider = $provider_collection->get_provider();

// открыть файл
phpbb\auth\provider\base.php
// найти функцию
	public function login_link_has_necessary_data(array $login_link_data)
	{
		return;
	}
// или найти (в более старых версиях)
	public function login_link_has_necessary_data($login_link_data)
	{
		return;
	}
// заменить на
	public function login_link_has_necessary_data(array $login_link_data)
	{
		return 'LOGIN_LINK_MISSING_DATA';
	}

[southklad]

Одного из изменений от rxu, или Nekstati, достаточно, чтобы временно закрыть дыру? Сейчас обновляю один форум, а за ним второй.

[Татьяна5]

southklad, любого достаточно
Вариант от rxu временно ломает часть oauth, от Nekstati - сохраняет всё в рабочем виде