Mise à jour CRITIQUE de sécurité : Sortie de SPIP 3.1.6 et SPIP 3.2 Beta 3

Général
1

Bonjour,

une faille CRITIQUE a été découverte récemment sous SPIP, permettant l’exécution de code arbitraire.

Elle touche les versions SPIP 3.1.x et les versions SPIP 3.2 Alpha & beta, et impacte tous les sites utilisant ces versions.
Les versions SPIP 3.0.x et antérieures ne sont pas concernées par ce problème.

Il est impératif de mettre à jour votre site SPIP dès que possible.

L’équipe remercie Emeric Boit et l’ANSSI pour l’identification et le signalement de la faille.

Dans l’attente d’une mise à jour de votre site, l’écran de sécurité en version 1.3.2 bloque les exploitations possibles de la faille.
https://www.spip.net/fr_article4200.html

La mise à jour de l’écran de sécurité reste une mesure transitoire qui ne vous dispense pas de la mise à jour de SPIP dans les meilleurs délais.

— L’équipe

Annonce complète et détails
https://blog.spip.net/806

2

Merci, et bonne journée.

============

« Ben. » <ben@rezo.net> a écrit dans le message de news: CAKg=Psdo-E20yqOy01CWBvP4mpL8WbxrTyz8+BWN2s-phUBt_Q@mail.gmail.com…
Bonjour,

une faille CRITIQUE a été découverte récemment sous SPIP, permettant l’exécution de code arbitraire.

Elle touche les versions SPIP 3.1.x et les versions SPIP 3.2 Alpha & beta, et impacte tous les sites utilisant ces versions.
Les versions SPIP 3.0.x et antérieures ne sont pas concernées par ce problème.

Il est impératif de mettre à jour votre site SPIP dès que possible.

L’équipe remercie Emeric Boit et l’ANSSI pour l’identification et le signalement de la faille.

Dans l’attente d’une mise à jour de votre site, l’écran de sécurité en version 1.3.2 bloque les exploitations possibles de la faille.
https://www.spip.net/fr_article4200.html

La mise à jour de l’écran de sécurité reste une mesure transitoire qui ne vous dispense pas de la mise à jour de SPIP dans les meilleurs délais.

— L’équipe

Annonce complète et détails
https://blog.spip.net/806

Garanti sans virus. www.avast.com
3

j’ai toujours un doute : si je «demande» à Filezilla de ne téléverser que les fichiers dont la taille est différente et/ou la date est plus récente, spip sera bien mis à jour n’est-ce-pas ?

4

Bonjour,

@Jean-Christophe Sekinger :

Si vous utilisez windows, j' ai remarquer que la mesure de taille sur
le disc et le serveur peut souvent varier, ce qui n'est pas le cas
avec ubuntu. Le mieux serait de faire une mise a jour complete.

Bonne journee

2017-06-15 9:56 GMT+02:00 Jean-Christophe Sekinger <jc.sekinger@free.fr>:

j'ai toujours un doute : si je «demande» à Filezilla de ne téléverser que
les fichiers dont la taille est différente et/ou la date est plus récente,
spip sera bien mis à jour n'est-ce-pas ?

Jean-Christophe (Sekinger)
19 rue des Pontets
33000 Bordeaux
06 82 09 82 20 (dehors)
09 52 12 53 02 (dedans)
http://traits.ouvaton.org

Le 12/06/2017 à 11:29, Ben. a écrit :

Bonjour,

une faille CRITIQUE a été découverte récemment sous SPIP, permettant
l’exécution de code arbitraire.

Elle touche les versions SPIP 3.1.x et les versions SPIP 3.2 Alpha & beta,
et impacte tous les sites utilisant ces versions.
Les versions SPIP 3.0.x et antérieures ne sont pas concernées par ce
problème.

Il est impératif de mettre à jour votre site SPIP dès que possible.

L’équipe remercie Emeric Boit et l’ANSSI pour l’identification et le
signalement de la faille.

Dans l’attente d’une mise à jour de votre site, l’écran de sécurité en
version 1.3.2 bloque les exploitations possibles de la faille.
Écran de sécurité - SPIP

La mise à jour de l’écran de sécurité reste une mesure transitoire qui ne
vous dispense pas de la mise à jour de SPIP dans les meilleurs délais.

— L’équipe

Annonce complète et détails
Mise à jour CRITIQUE de sécurité : Sortie de SPIP 3.1.6 et SPIP 3.2 Beta 3 - SPIP Blog

_______________________________________________
liste spip
spip@rezo.net - désabonnement : envoyer un mail à spip-off@rezo.net

Archives : https://www.mail-archive.com/spip@rezo.net/maillist.html

Infos : http://listes.rezo.net/mailman/listinfo/spip

Documentation de SPIP : http://www.spip.net/

Irc : de l'aide à toute heure : http://spip.net/irc

_______________________________________________
liste spip
spip@rezo.net - désabonnement : envoyer un mail à spip-off@rezo.net

Archives : https://www.mail-archive.com/spip@rezo.net/maillist.html

Infos : http://listes.rezo.net/mailman/listinfo/spip

Documentation de SPIP : http://www.spip.net/

Irc : de l'aide à toute heure : http://spip.net/irc

5

Bonjour,

6

Le 15/06/2017 à 10:34, Christophe ANTOINE a écrit :

Bonjour,

------------------------------------------------------------------------

    *De: *"Jean-Christophe Sekinger" <jc.sekinger@free.fr>
    *À: *spip@rezo.net
    *Envoyé: *Jeudi 15 Juin 2017 09:56:39
    *Objet : *Re: [Spip] Mise à jour CRITIQUE de sécurité : Sortie de
    SPIP 3.1.6 et SPIP 3.2 Beta 3

    j'ai toujours un doute : si je «demande» à Filezilla de ne
    téléverser que les fichiers dont la taille est différente et/ou la
    date est plus récente, spip sera bien mis à jour n'est-ce-pas ?

    Jean-Christophe (Sekinger)

Oui, c'est ce que je fais à chaque fois, en utilisant par contre Beyond Compare pour plus de facilité.

Ici entre la 3.1.5 et la 3.1.6 il y a très peu de fichiers à téléverser, moins de 10 si je me souviens bien.

--
Cordialement
Christophe ANTOINE
site internet : https://www.cabinet-antoine.fr

oui du coup près de 4000 fichiers à téléverser (× 5 dans mon cas) ça fait long — merci !

Jean-Christophe (Sekinger)
19 rue des Pontets
33000 Bordeaux
06 82 09 82 20 (dehors)
09 52 12 53 02 (dedans)

7

filezilla sur debian — merci !

Jean-Christophe (Sekinger)
19 rue des Pontets
33000 Bordeaux
06 82 09 82 20 (dehors)
09 52 12 53 02 (dedans)

Le 15/06/2017 à 10:06, Willy Liambi a écrit :

Bonjour,

@Jean-Christophe Sekinger :

Si vous utilisez windows, j' ai remarquer que la mesure de taille sur
le disc et le serveur peut souvent varier, ce qui n'est pas le cas
avec ubuntu. Le mieux serait de faire une mise a jour complete.

Bonne journee

2017-06-15 9:56 GMT+02:00 Jean-Christophe Sekinger <jc.sekinger@free.fr>:

j'ai toujours un doute : si je «demande» à Filezilla de ne téléverser que
les fichiers dont la taille est différente et/ou la date est plus récente,
spip sera bien mis à jour n'est-ce-pas ?

Jean-Christophe (Sekinger)
19 rue des Pontets
33000 Bordeaux
06 82 09 82 20 (dehors)
09 52 12 53 02 (dedans)
http://traits.ouvaton.org

Le 12/06/2017 à 11:29, Ben. a écrit :

Bonjour,

une faille CRITIQUE a été découverte récemment sous SPIP, permettant
l’exécution de code arbitraire.

Elle touche les versions SPIP 3.1.x et les versions SPIP 3.2 Alpha & beta,
et impacte tous les sites utilisant ces versions.
Les versions SPIP 3.0.x et antérieures ne sont pas concernées par ce
problème.

Il est impératif de mettre à jour votre site SPIP dès que possible.

L’équipe remercie Emeric Boit et l’ANSSI pour l’identification et le
signalement de la faille.

Dans l’attente d’une mise à jour de votre site, l’écran de sécurité en
version 1.3.2 bloque les exploitations possibles de la faille.
Écran de sécurité - SPIP

La mise à jour de l’écran de sécurité reste une mesure transitoire qui ne
vous dispense pas de la mise à jour de SPIP dans les meilleurs délais.

— L’équipe

Annonce complète et détails
Mise à jour CRITIQUE de sécurité : Sortie de SPIP 3.1.6 et SPIP 3.2 Beta 3 - SPIP Blog

_______________________________________________
liste spip
spip@rezo.net - désabonnement : envoyer un mail à spip-off@rezo.net

Archives : https://www.mail-archive.com/spip@rezo.net/maillist.html

Infos : http://listes.rezo.net/mailman/listinfo/spip

Documentation de SPIP : http://www.spip.net/

Irc : de l'aide à toute heure : http://spip.net/irc

_______________________________________________
liste spip
spip@rezo.net - désabonnement : envoyer un mail à spip-off@rezo.net

Archives : https://www.mail-archive.com/spip@rezo.net/maillist.html

Infos : http://listes.rezo.net/mailman/listinfo/spip

Documentation de SPIP : http://www.spip.net/

Irc : de l'aide à toute heure : http://spip.net/irc

8

Hello, par contre, attention, car tu risques un problème quand même, je ne crois pas que c’est le cas ici, mais imagine que entre deux version, il y a suppression d’un fichier !

Tu risques de garder un fichier qui ne sert plus et donc que cela te pose des problèmes de fonctionnements !

C’est généralement le cas entre deux versions « majeure » 3.0 à 3.1 par exemple !

Après pour les mise à jour mineure, c’est plutôt rare, mais faut quand même faire attention, (mise à jour de lib par exemple) !

Franck

De : Jean-Christophe Sekinger [mailto:jc.sekinger@free.fr]
Envoyé : jeudi 15 juin 2017 09:57
À : spip@rezo.net
Objet : Re: [Spip] Mise à jour CRITIQUE de sécurité : Sortie de SPIP 3.1.6 et SPIP 3.2 Beta 3

j’ai toujours un doute : si je «demande» à Filezilla de ne téléverser que les fichiers dont la taille est différente et/ou la date est plus récente, spip sera bien mis à jour n’est-ce-pas ?

Jean-Christophe (Sekinger)

19 rue des Pontets

33000 Bordeaux

06 82 09 82 20 (dehors)

09 52 12 53 02 (dedans)

[http://traits.ouvaton.org](http://traits.ouvaton.org)

Le 12/06/2017 à 11:29, Ben. a écrit :

Bonjour,

une faille CRITIQUE a été découverte récemment sous SPIP, permettant l’exécution de code arbitraire.

Elle touche les versions SPIP 3.1.x et les versions SPIP 3.2 Alpha & beta, et impacte tous les sites utilisant ces versions.
Les versions SPIP 3.0.x et antérieures ne sont pas concernées par ce problème.

Il est impératif de mettre à jour votre site SPIP dès que possible.

L’équipe remercie Emeric Boit et l’ANSSI pour l’identification et le signalement de la faille.

Dans l’attente d’une mise à jour de votre site, l’écran de sécurité en version 1.3.2 bloque les exploitations possibles de la faille.
https://www.spip.net/fr_article4200.html

La mise à jour de l’écran de sécurité reste une mesure transitoire qui ne vous dispense pas de la mise à jour de SPIP dans les meilleurs délais.

— L’équipe

Annonce complète et détails
https://blog.spip.net/806

_______________________________________________

liste spip

[spip@rezo.net](mailto:spip@rezo.net) - désabonnement : envoyer un mail à  [spip-off@rezo.net](mailto:spip-off@rezo.net)



Archives : [https://www.mail-archive.com/spip@rezo.net/maillist.html](https://www.mail-archive.com/spip@rezo.net/maillist.html)



Infos : [http://listes.rezo.net/mailman/listinfo/spip](http://listes.rezo.net/mailman/listinfo/spip)



Documentation de SPIP : [http://www.spip.net/](http://www.spip.net/)



Irc : de l'aide à toute heure : [http://spip.net/irc](http://spip.net/irc)
9

Le 15.06.17 à 19:09, Franck a écrit :

Hello, par contre, attention, car tu risques un problème quand même, je
ne crois pas que c’est le cas ici, mais imagine que entre deux version,
il y a suppression d’un fichier !

normalement si le fichier ne sert plus, il n'est plus appelé par quiconque, et donc il n'y a aucune raison que cela pose un problème.

--
Maïeul

10

Je sais, c'est pour cela que concernant les mise à jour mineure, il n'y a "normalement" pas de problèmes, mais il faut quand même faire un minimum attention, James avait fait un début de travail de comparaisons sur ce sujet Connexion · GitLab
De mémoire, il avait ça ou moment ou bossait sur spip_loader pour le faire évolué ( je pense qu'il n'a pas encore eu le temps d'y revenir)
Franck

-----Message d'origine-----
De : Maïeul [mailto:maieul@maieul.net]
Envoyé : jeudi 15 juin 2017 20:24
À : spip@rezo.net
Objet : Re: [Spip] Mise à jour CRITIQUE de sécurité : Sortie de SPIP 3.1.6 et SPIP 3.2 Beta 3

Le 15.06.17 à 19:09, Franck a écrit :

Hello, par contre, attention, car tu risques un problème quand même,
je ne crois pas que c’est le cas ici, mais imagine que entre deux
version, il y a suppression d’un fichier !

normalement si le fichier ne sert plus, il n'est plus appelé par quiconque, et donc il n'y a aucune raison que cela pose un problème.

--
Maïeul

_______________________________________________
liste spip
spip@rezo.net - désabonnement : envoyer un mail à spip-off@rezo.net

Archives : https://www.mail-archive.com/spip@rezo.net/maillist.html

Infos : http://listes.rezo.net/mailman/listinfo/spip

Documentation de SPIP : http://www.spip.net/

Irc : de l'aide à toute heure : http://spip.net/irc

11

ok

12

Bonsoir,
D’où l’intérêt d’un logiciel comme Beyond Compare, qui signale clairement les fichiers devenus orphelins (plus présents dans la nouvelle version).

Cordialement
Christophe ANTOINE
http://www.cabinet-Antoine.fr
(envoyé à partir de mon appareil Android avec Aqua Mail, donc exceptionnellement avec la réponse au dessus)

Le 15 juin 2017 19:09:54 « Franck » spip.franck@lien-d-amis.net a écrit :

Hello, par contre, attention, car tu risques un problème quand même, je ne crois pas que c’est le cas ici, mais imagine que entre deux version, il y a suppression d’un fichier !

Tu risques de garder un fichier qui ne sert plus et donc que cela te pose des problèmes de fonctionnements !

C’est généralement le cas entre deux versions « majeure » 3.0 à 3.1 par exemple !

Après pour les mise à jour mineure, c’est plutôt rare, mais faut quand même faire attention, (mise à jour de lib par exemple) !

Franck

De : Jean-Christophe Sekinger [mailto:jc.sekinger@free.fr]
Envoyé : jeudi 15 juin 2017 09:57
À : spip@rezo.net
Objet : Re: [Spip] Mise à jour CRITIQUE de sécurité : Sortie de SPIP 3.1.6 et SPIP 3.2 Beta 3

j’ai toujours un doute : si je «demande» à Filezilla de ne téléverser que les fichiers dont la taille est différente et/ou la date est plus récente, spip sera bien mis à jour n’est-ce-pas ?

Jean-Christophe
(Sekinger)

19 rue des
Pontets

33000 Bordeaux

06 82 09
82 20 (dehors)

09 52 12 53 02
(dedans)

[http://traits.ouvaton.org](http://traits.ouvaton.org)

Le 12/06/2017 à 11:29, Ben. a écrit :

Bonjour,

une faille CRITIQUE a été découverte récemment sous SPIP, permettant l’exécution de code arbitraire.

Elle touche les versions SPIP 3.1.x et les versions SPIP 3.2 Alpha & beta, et impacte tous les sites utilisant ces versions.
Les versions SPIP 3.0.x et antérieures ne sont pas concernées par ce problème.

Il est impératif de mettre à jour votre site SPIP dès que possible.

L’équipe remercie Emeric Boit et l’ANSSI pour l’identification et le signalement de la faille.

Dans l’attente d’une mise à jour de votre site, l’écran de sécurité en version 1.3.2 bloque les exploitations possibles de la faille.
https://www.spip.net/fr_article4200.html

La mise à jour de l’écran de sécurité reste une mesure transitoire qui ne vous dispense pas de la mise à jour de SPIP dans les meilleurs délais.

— L’équipe

Annonce complète et détails
https://blog.spip.net/806

_______________________________________________

liste
spip

[spip@rezo.net](mailto:spip@rezo.net)
- désabonnement : envoyer un mail à  [spip-off@rezo.net](mailto:spip-off@rezo.net)



Archives
: [https://www.mail-archive.com/spip@rezo.net/maillist.html](https://www.mail-archive.com/spip@rezo.net/maillist.html)



Infos
: [http://listes.rezo.net/mailman/listinfo/spip](http://listes.rezo.net/mailman/listinfo/spip)



Documentation
de SPIP : [http://www.spip.net/](http://www.spip.net/)



Irc
: de l'aide à toute heure : [http://spip.net/irc](http://spip.net/irc)

liste spip
spip@rezo.net - désabonnement : envoyer un mail à spip-off@rezo.net

Archives : https://www.mail-archive.com/spip@rezo.net/maillist.html

Infos : http://listes.rezo.net/mailman/listinfo/spip

Documentation de SPIP : http://www.spip.net/

Irc : de l’aide à toute heure : http://spip.net/irc