Neu WICHTIG: Behebung einer kritischen Sicherheitslücke in JTL-Shop 4 & 5

[hula1499]

Morgen,

betrifft die Sicherheitslücke lediglich die Datei /admin/io.php und wäre, durch einen reinen Austausch der Datei, die Sicherheitslücke geschlossen?

 

[JohnFrea]

Ich finde das Patchmanagement auch reichlich mies und das erst nicht seit gestern.

von 5.1.4 > 5.1.5 "schlanke" 4500 Dateien.

 

[JohnFrea]

Laut Newsletter sind es die Dateien:


JTL- Shop 5 /includes/src/IO/IOMethods.php
JTL-Shop 4 includes/io_inc.php

 

[hula1499]

Offensichtlich heute zu blöd zum lesen...danke für den Hinweis

 

[recent.digital]

Ich finde das Patchmanagement auch reichlich mies und das erst nicht seit gestern.

von 5.1.4 > 5.1.5 "schlanke" 4500 Dateien.

Immerhin kommen die Patches. Ich denke JTL ist da auch offen für Verbesserungen...

 

[Freaky]

Sehe ich das richtig, dass man mit 4.05 nichts machen muss, da der Fix jetzt wieder den Stand von 4.05 hat?

 

[frankpeters]

Sehe ich das richtig, dass man mit 4.05 nichts machen muss, da der Fix jetzt wieder den Stand von 4.05 hat?

Gibt es dazu ein offizielles Statement?

 

[MHillmann]

Hallo,

wie im Newsletter beschrieben, sind alle Versionen betroffen. Die betroffene Stelle sieht in früheren Shop 4 Versionen wahrscheinlich ähnlich aus, man könnte sich also eine Shop 4.06 Patchdatei ansehen und den Fix übertragen.

Ich möchte aber an der Stelle nochmal ausdrücklich anmerken, dass es seit der 4.05 auch schon andere Sicherheitsfixes gab, ein Update auf die 4.06.20 bzw. besser noch ein Upgrade auf die neusten Shop 5 Version ist daher dringend anzuraten.

Viele Grüße
Michael

 

[JulianG]

Ich finde das Patchmanagement auch reichlich mies und das erst nicht seit gestern.

von 5.1.4 > 5.1.5 "schlanke" 4500 Dateien.

Hi,

das ist zum Teil ein Fehler im Build-Prozess der Patchfiles, wie beim letzten Release. Im Fehlerbereich werden aber nur identische Dateien überschrieben. Das ist ein kleines Übel, welches leider nur durch komplexe Anpassungen behoben werden kann. Aktuell ist hier geplant, das für 5.2.1 zu korrigieren.
Es kann aber auch zum Teil korrekt sein bzw. auch noch nach dem Fix vorkommen. Patches sollen alle geänderten (und notwendigen) Dateien enthalten. Auch wenn wir für ein Release nur eine Datei ändern, können sich zwischen den Releases Bibliotheken geändert haben. Da liefern wir auch immer die neuesten dann aus und das kann auch schnell in die tausenden Dateien gehen.