Mise à jour CRITIQUE de sécurité SPIP 3.2.8 et SPIP 3.1.13

Général
1

Des failles de sécurité nous ont été signalées sur la branche 3.2, elles permettent à des auteurs identifiés d’exécuter du code PHP arbitraire. La version SPIP 3.2.8 corrige ces failles.

Nous sortons aussi une version SPIP 3.1.13 qui corrige des failles de sécurité pour la branche 3.1

L’équipe remercie Laluka (JACQUES-CHEVALLIER Louka) pour l’identification et le signalement des failles.

Attention ! Il n'a pas été possible de corriger ces failles dans l'écran de sécurité, nous vous conseillons donc de mettre à jour vers SPIP 3.2.8.

A suivre également : la sortie imminente de la version SPIP 3.3 alpha !

Annonce complète et détails
     https://blog.spip.net/842

Télécharger SPIP
     https://www.spip.net/fr_download

— L’équipe

2

Bonjour,

Merci à l'équipe pour le boulot !!
Marathon mise à jour fini :slight_smile:

Le 29/09/2020 à 19:25, Bruno Bergot a écrit :

Des failles de sécurité nous ont été signalées sur la branche 3.2, elles permettent à des auteurs identifiés d’exécuter du code PHP arbitraire. La version SPIP 3.2.8 corrige ces failles.

Nous sortons aussi une version SPIP 3.1.13 qui corrige des failles de sécurité pour la branche 3.1

L’équipe remercie Laluka (JACQUES-CHEVALLIER Louka) pour l’identification et le signalement des failles.

Attention ! Il n'a pas été possible de corriger ces failles dans l'écran de sécurité, nous vous conseillons donc de mettre à jour vers SPIP 3.2.8.

A suivre également : la sortie imminente de la version SPIP 3.3 alpha !

Annonce complète et détails
Mise à jour CRITIQUE de sécurité : sortie de SPIP 3.2.8 et SPIP 3.1.13 SPIP (…) - SPIP Blog

Télécharger SPIP
Télécharger SPIP - SPIP

— L’équipe

--
Pierre

3

Le mardi 29 septembre 2020 à 19:25 +0200, Bruno Bergot a écrit :

Des failles de sécurité nous ont été signalées sur la branche 3.2,
elles permettent à des auteurs identifiés d’exécuter du code PHP
arbitraire. La version SPIP 3.2.8 corrige ces failles.

Bonjour,

spip_loader est-il toujours fonctionnel ?

Merci,

Eric

4

Salut,

Le 30/09/2020 à 11:24, eric a écrit :

Bonjour,
spip_loader est-il toujours fonctionnel ?

Oui, il faut juste faire la mise à jour vers la version 4.1 et la mise à jour de SPIP se fait bien.

                 jeanmarie

--
Cet email a fait l'objet d'une analyse antivirus par AVG.

5

Bonjour,

Et bien moi j’ai toujours un problème avec le spip_loader… il refuse de se charger… depuis plusieurs MAJ et ça commence à être un peu lourd…))
voici le message si jamais cela pouvait parler à quelqu’un ? :
(spip_loader v.4.1.0 sur un Spip v. 3.2.7 sur un serveur Huma-Num)

Fatal error: Uncaught Exception: Impossible de récupérer le fichier spip_loader_list.json in /sites/sitelambda/spip_loader.php:267 Stack trace: #0 /sites/sitelambda/spip_loader.php(243): lister_versions_spip() #1 /sites/sitelambda/spip_loader.php(108): lister_branches_proposees(‹ 3.2 ›) #2 {main} thrown in /sites/sitelambda/spip_loader.php on line 267

Merci…

6

Bonjour,

mes deux hébergeurs détectent un problème avec la nouvelle version de spip_loader. Les deux contiennent un spip 3.1.12.

OVH signale un Internal server error et celeonet une erreur de syntaxe :

Parse error: syntax error, unexpected '[' in /home/www/cercleshoah/www/spip_loader.php on line 297

Par contre mon spip local (3.2) n'a pas bronché.

Que faut-il faire ?

Merci d'avance
Ulrich

Le 30/09/2020 à 11:47, jeanmarie a écrit :

Salut,

Le 30/09/2020 à 11:24, eric a écrit :

Bonjour,
spip_loader est-il toujours fonctionnel ?

Oui, il faut juste faire la mise à jour vers la version 4.1 et la mise à jour de SPIP se fait bien.

                 jeanmarie
7

En local (wampserver), le spip_loader fonctionne… simplement lorsque les fichier de MàJ sont chargés, on ne revient plus au site mais on reste bizarrement sur le spip_loader et son invitation à lancer la mise à jour…
(lorsqu’on se rend sur le backoffice, la version affichée de Spip est la bien nouvelle)

Bizarre, bizarre…

8

Hello :blush:
Pour faire des tests pour éventuellement mettre la main sur le problème, il faudrait en dire un peu plus, par exemple...
Sur OHV dire également s'il s'agit d'un hébergement mutualiser ou pas ?

Environnement d'exécution: Legacy, stable, stable64 ?
Version php ?
Moteur: php ou phpcgi ?
Mode: production, développement ?
Parefeu applicatif: activé, désactivé ?

Bref, cela manque un peu d'infos... :blush:
Franck

-----Message d'origine-----
De : Ulrich Hermann <hermann@noos.fr>
Envoyé : mercredi 30 septembre 2020 19:04
À : spip@rezo.net
Objet : Re: [Spip] Mise à jour CRITIQUE de sécurité SPIP 3.2.8 et SPIP 3.1.13

Bonjour,

mes deux hébergeurs détectent un problème avec la nouvelle version de spip_loader. Les deux contiennent un spip 3.1.12.

OVH signale un Internal server error et celeonet une erreur de syntaxe :

Parse error: syntax error, unexpected '[' in /home/www/cercleshoah/www/spip_loader.php on line 297

Par contre mon spip local (3.2) n'a pas bronché.

Que faut-il faire ?

Merci d'avance
Ulrich

Le 30/09/2020 à 11:47, jeanmarie a écrit :

Salut,

Le 30/09/2020 à 11:24, eric a écrit :

Bonjour,
spip_loader est-il toujours fonctionnel ?

Oui, il faut juste faire la mise à jour vers la version 4.1 et la mise
à jour de SPIP se fait bien.

                     jeanmarie

_______________________________________________
liste spip
spip@rezo.net - désabonnement : envoyer un mail à spip-off@rezo.net

Archives : https://www.mail-archive.com/spip@rezo.net/maillist.html

Infos : https://listes.rezo.net/mailman/listinfo/spip

Documentation de SPIP : http://www.spip.net/

Irc : de l'aide à toute heure : http://spip.net/irc

9

Le 30/09/2020 à 19:03, Ulrich Hermann a écrit :

celeonet une erreur de syntaxe :
Parse error: syntax error, unexpected '[' in /home/www/cercleshoah/www/spip_loader.php on line 297

Ce PHP est trop vieux probablement. Mais alors vraiment très très trop vieux.
Il faut mettre à jour php.
JL

Par contre mon spip local (3.2) n'a pas bronché.

Que faut-il faire ?

Merci d'avance
Ulrich

Le 30/09/2020 à 11:47, jeanmarie a écrit :

Salut,

Le 30/09/2020 à 11:24, eric a écrit :

Bonjour,
spip_loader est-il toujours fonctionnel ?

Oui, il faut juste faire la mise à jour vers la version 4.1 et la mise à jour de SPIP se fait bien.

                 jeanmarie
10

Le 30/09/2020 à 19:03, Ulrich Hermann a écrit :

OVH signale un Internal server error

Que faut-il faire ?

Regarder le log d'erreur de php quelque part dans l'arborescence de ton hébergement.
(demande à ovh si tu ne sais pas où c'est)
JLuc

11

Le 30/09/2020 à 19:03, Ulrich Hermann a écrit :

Bonjour,

mes deux hébergeurs détectent un problème avec la nouvelle version de spip_loader. Les deux contiennent un spip 3.1.12.

OVH signale un Internal server error et celeonet une erreur de syntaxe :

Parse error: syntax error, unexpected '[' in /home/www/cercleshoah/www/spip_loader.php on line 297

Désolé pour ça, ça veut dire que ton PHP est < 5.4 ce qui commence à dater, et j’avais pas fait attention.

J’ai corrigé ça en version 4.1.1 du spip loader, mais ça ne semblait suffire pour faire fonctionner spip_loader en php 5.3 correctement.

J’ai envoyé une version 4.2.0 qui peut peut être améliorer une partie des problèmes, mais je n’ai testé qu’en php 5.4 (et ça marche semble t’il chez moi).

Cependant j’ai viré le php 5.3 que je m’étais installé hier rapidement pour vérifier car il me causait trop de problèmes, donc je n’ai pas retesté cette version 4.2.0 du spip loader en PHP 5.3.

MM.

12

Le 01/10/2020 à 08:55, Matthieu Marcillaud a écrit :

Parse error: syntax error, unexpected '[' in /home/www/cercleshoah/www/spip_loader.php on line 297

On vient de sortir une 3.1.14 qui corrige pour PHP < 5.4. Rien d’autre que cela dedans.

Merci des retours ! et désolé !

Un mail arrive :slight_smile:

MM.

13

Bonjour,

merci d'avoir réagi aussi vite avec la 3.1.14. Il y a du progrès, mais ce n'est malheureusement pas encore parfait.

Dans le site public beaucoup d'articles sont lisibles. Mais si on appelle depuis le site public les rubriques (après vidage du cache /skel) on obtient ceci :

Fatal error: Call to undefined function sommaire_d_article() in /home/www/monsite/www/ecrire/public/composer.php(92) : eval()'d code on line 149

Si on refait la même chose le cache est recréé et cela devient :

Fatal error: Call to undefined function sommaire_d_article() in /home/www/monsite/www/tmp/cache/skel/html_ce164e832f977ebc9a3ad20f767d1d7e.php on line 342

Pour certains articles même problème.

Dans l'espace privé on a accès aux articles, mais pas au menu. Il ne s'affiche pas, et si on appelle par exemple

/ecrire/?exec=navigation&menu=menu_edition

on a sur l'écran la première ligne (nom de la personne authentifiée), pas les grands boutons du menu, et de la troisième ligne seulement le bouton de l'arborescence du site, et écran vide (sauf le pied de page).

Désolé pour le travail causé.

Cordialement
Ulrich Hermann

Le 02/10/2020 à 13:46, Matthieu Marcillaud a écrit :

Bonjour,

Il convient de répondre sur la liste si possible :slight_smile:

Le 01/10/2020 à 11:20, Ulrich Hermann a écrit :

Le site public était bloqué par
Parse error: syntax error, unexpected '[' in /home/www/monsite/www/ecrire/inc/utils.php on line 446
En remplaçant par le fichier de la version précédente il remarche.

Zut :confused:

Merci pour le retour !

On vient de sortir une 3.1.14 qui corrige.

Mais l'espace privé est bloqué par /inc/filtres.php (je ne peux pas reproduire l'erreur) et ceci p.e.
Fatal error: Call to undefined function spip_sanitize_from_request() in /home/www/monsite/www/tmp/cache/skel/html_2bf5e9bdbee88407a4818840e625dd9d.php on line 142

Pour ça, un ?var_mode=recalcul doit corriger. ou un vidage du cache (tmp/cache/skel) devrait fonctionner.

Belle journée !

MM.

14

Le 02/10/2020 à 19:37, Ulrich Hermann a écrit :

Fatal error: Call to undefined function sommaire_d_article() in /home/www/monsite/www/tmp/cache/skel/html_ce164e832f977ebc9a3ad20f767d1d7e.php on line 342

Ça c'est le couteau suisse
Tu peux le désactiver pour voir comme ça va mieux.
Et éventuellement Sommaire automatique - SPIP-Contrib marchera mieux ?
JL

Dans l'espace privé on a accès aux articles, mais pas au menu. Il ne s'affiche pas, et si on appelle par exemple
/ecrire/?exec=navigation&menu=menu_edition

on a sur l'écran la première ligne (nom de la personne authentifiée), pas les grands boutons du menu, et de la troisième ligne seulement le bouton de l'arborescence du site, et écran vide (sauf le pied de page).