[Админам]

A recent vBulletin report indicated that there was a potential exploit vector in flood protection. Once the cause of the issue was isolated, code changes were made to eliminate the reported threat.

This issue affects BOTH vBulletin 3 and vBulletin 4 (Suite & Forum).

A patch has been issued for vBulletin 3.8.7 through 4.2.

To improve the security of your vBulletin 4 installation, please download the patch from the members area of vBulletin: http://members.vbulletin.com/

The standard upgrade process for a patch level release is:

1. Download the patch for the version of vBulletin you're currently running from https://members.vbulletin.com/patches.php.
2. Extract the vBulletin patch files from the zip file.
3. Upload the patch files to your server, overwriting the old files.

Advanced Users:

Files updated in the patch for vBulletin 3.8.7 * 4.0 - 4.1.12 (Suite & Forum).

• includes/class_dm_threadpost.php
• includes/class_floodcheck.php
• includes/version_vbulletin.php

Files updated in the patch for vBulletin 4.2 (Suite & Forum).

• includes/adminfunctions.php
• includes/class_dm_threadpost.php
• includes/class_floodcheck.php
• includes/class_upgrade_420a1.php
• install/init.php
• install/mysql-schema.php
• vb/activitystream/populate/forum/thread.php
• includes/version_vbulletin.php

https://www.vbulletin.com/forum/show...um)-06-07-2012

Выкладываю патчи (только патчи) для всех линеек включая mobile версию для 3.8.х

плюс бонус, инструкция как в ручную обновить тройку, пригодится тем у кого много измененных файлов да и просто для информации что где и как поменялось от последней версии 3.8.7 PL2

P.S Для тройки не только эти файлы изменены

includes/class_dm_threadpost.php
includes/class_floodcheck.php
includes/version_vbulletin.php

так же есть не слабые изменения в

includes/functions.php
includes/init.php

В общем всю инфу об изменениях найдете внутри архива

vbsupport security patch 38PL3 42PL1 (653.9 Кб)

Originally Posted by xorex

P.S Для тройки не только эти файлы изменены

Однако они рекомендуют обновлять только три этих файла.

Originally Posted by eska

Однако они рекомендуют обновлять только три этих файла.

Если вы посмотрите последний языковой файл то там уже фигурируют 10-15 имен тех кто лазил в код включая китайцев и корейцев (судя по никам) вместо привычных 1-2ух, поэтому осмелюсь предположить они и сами то не в курсе до конца кто что правил взять тот же самый файл class_core.php который в патче есть но остался без изменений.

кстати если вас не парит опция белого списка для которой они добавили возможность отключениея

можете и не менять ничего в файлах

includes/functions.php
includes/init.php

Originally Posted by xorex

было

opt="timezoneoffset"

стало

opt="tioneoffset"

как вы думаете где правильно ?

Не нашел нигде tioneoffset для 3.8.7, о чем речь?

eska, Точняк, это мой косяк, дело все в том что там фигурировал пользователь mez так вот когда я затирал левые ники что бы нормально можно было сравнить файлы (из за тучи новых ников два файла можно было сравнивать неделю без затирки левака), естестно часть этой (только этой) переменной убило и в итоге я ее посчитал за баг :/ В общем все еще перепроверил, все ок.

xorex,

В патче так же присутствует файл class_core.php но в нем не было никаких изменений

Изменения есть Смена года 2011 на 2012. Просто ты "шапку вырезаешь" в файлах
Кстати, я бы вернул шапки эти, просто убрав номер лицензии. Это актуально для тех, кто юзает зануленные версии, и сталкивается потом с тем, что нужно сравнить файлы форума на FTP с оригинальным дистрибутивом (при взломе, например).. так вот время будет тратиться на такие файлы без шапки.. Araxis например покажет что эти файлы отличаются от дистрибутива.
И ещё. а почему закомментированные строки не добавил?

Originally Posted by TAIFUN

xorex,
Изменения есть Смена года 2011 на 2012. Просто ты "шапку вырезаешь" в файлах
Кстати, я бы вернул шапки эти, просто убрав номер лицензии. Это актуально для тех, кто юзает зануленные версии, и сталкивается потом с тем, что нужно сравнить файлы форума на FTP с оригинальным дистрибутивом (при взломе, например).. так вот время будет тратиться на такие файлы без шапки.. Araxis например покажет что эти файлы отличаются от дистрибутива.
И ещё. а почему закомментированные строки не добавил?

Честно сказать я вообще файлы патча не собирался выкладывать (хотел залить только инфу для ручного обновления для тех у кого файлы сильно перекурочены), расчитывал на то что автор новости уже это сделает (кто бы он не был) но поскольку этого сделано не было, заодно закинул и файлы патча. Насчет комментов, там есть точная дата и время скачивания по которой как не трудно догадаться, вычислить чей это дистрибутив не составит труда. По шапке, если вы сравниваете файлы то у вас должен быть оригинал файлов, которые и будут по сути из этого патча и не важно есть ли там шапка или нет, последние же, вы заливаете эти, значит с ними и будет сравнение, к тому же в разных нулях по разному этот самый код затирают или заменяют, достаточно того что будет лишний символ или даже пробел, файлы уже будут разными. Ну и естестно никто не мешает подставить эту самую шапку от вашего нула если так удобнее.

xorex, не, что DGT что Fintmax - 4-e. строку просто меняют на версию релиза vB.
Например.
Было:

<?php
/*======================================================================*\
|| #################################################################### ||
|| # vBulletin  - Licence Number *номер лицензии*

Меняют на:

<?php
/*======================================================================*\
|| #################################################################### ||
|| # vBulletin 3.8.3

Хотя, согласен с подвалом.. DGT просто удаляли строку с датой, Финтмакс вписывает:

|| # NulleD By - FintMax

--
В общем, это так - не совет, а полялякать, так сказать ;)

В vbulletin-language.xml изменения коснулись авторства фраз. Раньше "автором" всех фраз значился "vBulletin Solutions"


Непонятно только зачем это было нужно.