Il est temps de passer à un autre correctif, SUPEE-7405 pour Magento 1.x est disponible et la liste des correctifs est longue: https://magento.com/security/patches/supee-7405
Après l'expérience des derniers patchs, je dois demander à nouveau: quels sont les problèmes possibles lors de l'application du patch et que dois-je prendre en compte?
De nombreux problèmes XSS ont été corrigés à nouveau. Je compte donc patcher les thèmes personnalisés manuellement. Rien d'autre? Existe-t-il des modifications incompatibles avec le passé?
security
patches
magento-1
supee-7405
Fabian Schmengler
la source
la source
Réponses:
Mise à jour du 23 février 2016 : Le correctif a été mis à jour à la version 1.1, ce qui corrige un certain nombre de problèmes importants répertoriés dans ce message. Voici la liste:
Après avoir approfondi le correctif, voici ce que j'ai trouvé de pertinent et d'intéressant (NB: cette liste a été réalisée en analysant le correctif pour CE 1.9.2.0-1.9.2.2, il y en a probablement plus pour les correctifs affectant les anciennes versions de Magento) :
L’utilisation de of[]au lieu dearray()dans ce patch le rend incompatible avec PHP <5.4 (voir les problèmes connus ci-dessous)Mage_Admin_Model_ObserverMage_Adminhtml_IndexControllerMage_Adminhtml_IndexControllergetDeleteUrldeMage_Checkout_Block_Cart_Item_Rendereret validée à ladeleteActiondeMage_Checkout_CartController.controller_action_postdispatch_checkout_onepage_saveOrderdevientcontroller_action_postdispatch_checkout_onepage_saveorder). Cela n'affecte pas la configuration de vos observateurs locaux . Plus d'informations ici: https://twitter.com/foomanNZ/status/689924329065164800Mage_Core_Model_File_Validator_ImageSystem => Configuration =>Advanced > System => Escape CSV Fieldsadmin_user_validatesousMage_Admin_Model_UserMage_Authorizenet_Helper_Admin) utilisé pour obtenir l'URL de l'ordre de réussite.Zend_Xml_Security. Son but est d'analyser une chaîne XML pour détecter d'éventuelles attaques XXE et XEE. Cependant, je n'ai trouvé aucune référence à cela dans les autres fichiers modifiés.Problèmes connus après le correctif:
Je vais essayer de garder cette liste aussi à jour que possible.
Avant de commencer un nouveau problème / question, veuillez vous assurer que vous avez appliqué tous les correctifs précédents, car il semble que beaucoup de problèmes proviennent de correctifs manquants.
Une autre chose est la suivante: si vous avez modifié les fichiers principaux, l’application du correctif peut échouer. Si vous rencontrez une
Hunk # failed aterreur pour un fichier spécifique et que vous êtes sûr à 100% d'avoir appliqué tous les correctifs précédents, assurez-vous de disposer du fichier d'origine de votre version de Magento en vérifiant le miroir: https://github.com / OpenMage / magento-mirror /La page d'affichage de la commande administrateur est vide / cassée => et liée à l'incompatibilité PHP <5.4. => Le correctif peut être trouvé ici: https://magento.stackexchange.com/a/98237/2380 / J'ai créé un rapport de bogue: https://www.magentocommerce.com/bug-tracking/issue/index/ id / 1266 (crédits: @ Moonman67).L'URL de l'API SOAP/index.php/api/v2_soap/index/?wsdl=1génère une erreur 500 => J'ai développé un correctif pour celui-ci qui peut être trouvé ici: https://magento.stackexchange.com/a/98790/2380 / J'ai également créé un rapport de bogue pour celui-ci: https://www.magentocommerce.com/bug-tracking/issue/index/id/1265 (crédits: @ Moonman67)Problèmes concernant les autorisations de téléchargement de fichiersapp/code/core/Mage/Core/Model/Config.php(éventuellement uniquement EE): SUPEE 7405 Enterprise Edition Erreur fatale Constante de classe non définie 'AREA_ADMINHTMLMage_Core_Helper_Abstract::escapeHtml()sur 1.4.0.1 : erreur après l'installation du patch 7405 sur Magento 1.4.0.1_singleton/Mage_Core_Model_Domainpolicyexiste déjà sur Magento 1.7: Correctif de sécurité SUPEE-7405 ErreurProblèmes d'application du correctif sur la version 1.7.0.2 : problèmes de correctif de sécurité SUPEE-7405Problèmes liés à l’application du correctif sur la version 1.8.1 : supee 7405 Hunk # 2 FAILE à 472. Magento 1.8.1File d'attente de courrier électronique interrompue après le correctif : Magento 1.9.2.3 Email-Queue ne fonctionne pasListe des fichiers concernés
Vous pouvez le trouver sur cette page ici: https://magento.stackexchange.com/a/98232/2380 (credits @MagenX)
EE seulement
Concernant le patch 7616:
Problème possible lors de l' application de 7616 avant l'application de 7405 : SUPEE 7405 - Hunk # 2 a échoué à 43Bonnes ressources sur les correctifs Magento
N'hésitez pas à me faire savoir si quelque chose me manque.
la source
Un problème que j’ai remarqué est que si votre site utilise une version inférieure à PHP 5.4, le correctif n’est pas compatible.
Dans la classe
Mage_Adminhtml_Helper_Salesautour du numéro de ligne 124. Le code est le suivant:J'avais besoin d'étendre cela pour être:
Une autre erreur que j'ai rencontrée semble concerner les cookies que j'avais configurés. Une fois les cookies supprimés, toutes les pages se sont bien chargées.
Exemple d'erreur:
Je ne suis pas sûr que quelqu'un d'autre se soit heurté à ces problèmes, mais j'espère que cela aidera!
la source
Voici un problème que j'ai rencontré lors de l'application de SUPEE-7405 à Magento CE. Il remplace la ligne:
avec:
dans le fichier
lib/Varien/File/Uploader.phpCela a arrêté l'affichage de mes images dans le back-end, car cette autorisation de fichier devrait en fait être 644. Y a-t-il une raison pour laquelle il a été défini sur 640?
la source
chown USERNAME:nobody -R public_htmlfind ./public_html -type d -exec chmod g+s {} \;Lors de l'application pour Magento 1.7.0.0, essayez de supprimer un commentaire sur
app/design/adminhtml/default/default/template/authorizenet/directpost/iframe.phtml-/* @var $_helper Mage_Authorizenet_Helper_Data */1.7.0.0 - https://raw.githubusercontent.com/OpenMage/magento-mirror/1.7.0.0/app/design/adminhtml/default/default/template/authorizenet/directpost/iframe.phtml
qui n'a pas été ajouté jusqu'à 1.7.0.1 https://raw.githubusercontent.com/OpenMage/magento-mirror/1.7.0.1/app/design/adminhtml/default/default/template/authorizenet/directpost/iframe.phtml
la source
ces fichiers corrigés, vous pouvez voir le moindre impact possible:
template: les modèles d’admin principalement patchés.
core / libs:
=============================================== ======================= ps Pour ne pas perdre le contrôle , nous avons créé un multipatch simple pour patcher de nombreux serveurs avec plusieurs installations de Magento. multipatch-7405.sh
la source
Voici mon plan de test de base:
la source
Veuillez noter que le problème des sessions supprimées a récemment été découvert et corrigé (?) Par Colin Mollenhour .
https://gist.github.com/colinmollenhour/5066a3220881a9c0c2dd42fa1593cbff/revisions
la source
Si vous avez mis à jour Magento EE 1.14.2.x vers Magento EE 1.14.2.3 au lieu d'appliquer le correctif et que vous avez également appliqué le correctif de prise en charge SUPEE-5984 auparavant, vous devez le réappliquer car il n'est pas inclus dans la version .
C'est le correctif qui a corrigé l'indexeur cassé: erreur d'index après la mise à niveau vers EE 1.14.2.0: la table catalog_product_entity_tmp_indexer n'existe pas
la source
À compter du 23 février 2016, Magento a publié un correctif destiné à résoudre nombre de ces problèmes: https://magento.com/security/patches/supee-7405
Vous devez appliquer SUPEE_7405_v1, puis SUPEE_7405_v1.1 dans l'ordre.
la source
Capture d’écran pour la page des détails de la commande de l’administrateur, Si vous affichez ce type de problème, veuillez suivre les instructions ci-dessous, cela fonctionne pour moi!
Solution
la source
Chaque fois que nous installons un correctif pour l'un de nos clients, nous utilisons la liste de contrôle suivante:
app/etc/applied.patches.listfichier)Je suppose que c'est vraiment tout ce qu'il y a à faire. Les correctifs sont conçus pour être installés rapidement et sans tracas. 9 fois sur 10, ils installeront parfaitement bien et pour les autres fois, nous avons des sauvegardes. Tant que vous ne jouez pas avec les fichiers de base, tout devrait bien se passer.
la source
app/etc/applied.patches.listIci fichiers affectés pour Magento EE
la source
Après avoir appliqué le SUPEE-7405 sur Magento 1.14.1.0, j'ai eu l'erreur:
Le problème était dû à la nouvelle déclaration de la méthode _validateControllerInstance dans
Après avoir supprimé la deuxième (même) déclaration de fonction, le problème a été résolu.
la source
J'ai eu l'erreur suivante après l'installation du correctif SUPEE-7405 lors de la tentative de connexion à l'administrateur.
parce que ce fichier a été remplacé dans le pool de code local pour lequel la
sendHeadersAndExitméthode n'a pas été créée par ce correctif.\app\code\local\Mage\Core\Controller\Response\Http.phpla méthode suivante n'existe pas. (Ceci est une nouvelle méthode ajoutée au fichier core)Après avoir ajouté ceci au problème de fichier remplacé, le problème a disparu.
la source
L'un des problèmes rencontrés lors de l'utilisation de SUPEE-7405 est le bogue de téléchargement d'image.
Par conséquent, je vérifie les modifications dans ce fichier: lib / Varien / File / Uploader.php
diff --git lib / Varien / Fichier / Uploader.php lib / Varien / Fichier / Uploader.php --- --- - chmod ($ destinationFile, 0777); + chmod ($ destinationFile, 0640); --- --- - if (! (@ is_dir ($ destinationFolder) || @mkdir ($ destinationFolder, 0777, true)))) { + if (! (@ is_dir ($ destinationFolder) || @mkdir ($ destinationFolder, 0750, true)))) {Ensuite, j'ai découvert deux façons de le surmonter:
Option 1:
J'effectue une modification manuelle du fichier lib / Varien / File / Uploader.php pour ajuster les autorisations 0640/0750.
Option 2: Parce que Magento s'attend à ce que le serveur Web possède les fichiers du site:
http://devdocs.magento.com/guides/m1x/install/privileges_after.html#privs-after
L’autre façon de résoudre le problème consiste à faire du serveur Web le propriétaire des fichiers.
chown -R nom-utilisateur-serveur-Web magento / root / path
Le nom d'utilisateur du serveur Web est généralement www-data ou apache.
la source