Está na hora de outro dia de atualização, o SUPEE-7405 para Magento 1.x está fora e a lista de correções é longa: https://magento.com/security/patches/supee-7405
Após a experiência com os últimos patches, tenho que perguntar novamente: quais são os possíveis problemas ao aplicar o patch e o que preciso considerar?
Muitos problemas de XSS foram corrigidos novamente, então espero corrigir temas personalizados manualmente. Algo mais? Existem alterações incompatíveis com versões anteriores?
security
patches
magento-1
supee-7405
Fabian Schmengler
fonte
fonte
Respostas:
Atualização de 23 de fevereiro de 2016 : O patch foi atualizado para a V1.1, que corrige uma série de problemas importantes listados nesta postagem, e aqui está a lista:
Após cavar o patch, aqui estão as coisas relevantes / interessantes que eu encontrei (NB: esta lista foi feita analisando o patch para CE 1.9.2.0-1.9.2.2, provavelmente há mais para os patches que afetam versões mais antigas do Magento) :
O uso de, em[]vez dearray()neste patch, o torna incompatível com o PHP <5.4 (veja problemas conhecidos abaixo)Mage_Admin_Model_ObserverMage_Adminhtml_IndexControllerMage_Adminhtml_IndexControllergetDeleteUrldeMage_Checkout_Block_Cart_Item_Renderere validada nodeleteActiondeMage_Checkout_CartController.controller_action_postdispatch_checkout_onepage_saveOrdertorna-secontroller_action_postdispatch_checkout_onepage_saveorder). Isso não afeta a configuração dos observadores locais . Mais informações aqui: https://twitter.com/foomanNZ/status/689924329065164800Mage_Core_Model_File_Validator_ImageSystem => Configuration =>Advanced > System => Escape CSV Fieldsadmin_user_validatesobMage_Admin_Model_UserMage_Authorizenet_Helper_Admin) usado para obter o URL da ordem de sucesso.Zend_Xml_Security. Seu objetivo é verificar a seqüência XML para possíveis ataques XXE e XEE. No entanto, não encontrei nenhuma referência a ele nos outros arquivos modificados.Problemas conhecidos após o patch:
Vou tentar manter esta lista o mais atualizada possível.
Antes de iniciar um novo problema / pergunta, verifique se você aplicou todos os patches anteriores , pois parece que muitos problemas decorrem da falta de patches.
Outra coisa é: se você modificou os arquivos principais, a aplicação do patch pode falhar. Se você está tendo um
Hunk # failed aterro em um arquivo específico e tem 100% de certeza de que aplicou todos os patches anteriores, verifique se possui o arquivo original da sua versão do Magento, verificando o espelho: https://github.com / OpenMage / espelho magento /A página de visualização do pedido do administrador está em branco / quebrada => Relacionada à incompatibilidade do PHP <5.4. => A correção pode ser encontrada aqui: https://magento.stackexchange.com/a/98237/2380 / Criei um relatório de erro: https://www.magentocommerce.com/bug-tracking/issue/index/ id / 1266 (créditos: @ Moonman67).A URL da API SOAP/index.php/api/v2_soap/index/?wsdl=1gera um erro 500 => Desenvolvi uma correção hacky para esta que pode ser encontrada aqui: https://magento.stackexchange.com/a/98790/2380 / Também criei um relatório de bug para este: https://www.magentocommerce.com/bug-tracking/issue/index/id/1265 (créditos: @ Moonman67)Problemas relacionados às permissões de upload de arquivosapp/code/core/Mage/Core/Model/Config.php(possivelmente apenas EE): SUPEE 7405 Enterprise Edition Erro fatal Constante de classe indefinida 'AREA_ADMINHTMLMage_Core_Helper_Abstract::escapeHtml()no 1.4.0.1 : Erro após a instalação do patch 7405 no Magento 1.4.0.1_singleton/Mage_Core_Model_Domainpolicyjá existe no Magento 1.7: Erro no patch de segurança SUPEE-7405Problemas ao aplicar o patch no 1.7.0.2 : Problemas no patch de segurança SUPEE-7405Problemas ao aplicar o patch no 1.8.1 : supee 7405 Hunk # 2 FAILED at 472. Magento 1.8.1Fila de email quebrada após o patch : Magento 1.9.2.3 Email-Queue não está funcionandoLista de arquivos afetados
Pode ser encontrado nesta página aqui: https://magento.stackexchange.com/a/98232/2380 (créditos @MagenX)
Apenas EE
Em relação ao Patch 7616:
Possível problema ao aplicar 7616 antes de aplicar 7405 : SUPEE 7405 - Falha no pedaço 2 em 43Bons recursos sobre os patches Magento
Sinta-se livre para me informar se eu perder alguma coisa.
fonte
Um problema que notei é que, se o seu site estiver usando uma versão inferior ao PHP 5.4, o patch não será compatível.
Na classe em
Mage_Adminhtml_Helper_Salestorno da linha número 124. O código é:Eu precisava estender isso para ser:
Outro erro que encontrei parecia envolver os cookies que eu havia configurado. Depois que eu limpei meus cookies, todas as páginas foram carregadas corretamente.
Exemplo de erro:
Não tenho certeza se alguém já se deparou com esses problemas, mas espero que ajude!
fonte
Aqui está um problema que encontrei ao corrigir o Magento CE com o SUPEE-7405. Ele substitui a linha:
com:
no arquivo
lib/Varien/File/Uploader.phpIsso interrompeu a exibição das imagens no back-end, pois essa permissão de arquivo deveria ser 644. Existe algum motivo para isso ter sido definido como 640?
fonte
chown USERNAME:nobody -R public_htmlfind ./public_html -type d -exec chmod g+s {} \;Ao se candidatar ao Magento 1.7.0.0, está tentando remover um comentário no
app/design/adminhtml/default/default/template/authorizenet/directpost/iframe.phtml-/* @var $_helper Mage_Authorizenet_Helper_Data */1.7.0.0 - https://raw.githubusercontent.com/OpenMage/magento-mirror/1.7.0.0/app/design/adminhtml/default/default/template/authorizenet/directpost/iframe.phtml
que não foi adicionado até 1.7.0.1 https://raw.githubusercontent.com/OpenMage/magento-mirror/1.7.0.1/app/design/adminhtml/default/default/template/authorizenet/directpost/iframe.phtml
fonte
esses arquivos corrigidos, você pode ver qualquer impacto possível:
modelo: modelos de administração, em sua maioria corrigidos.
núcleo / libs:
==================================================== ======================= ps apenas para manter todos juntos, criamos um multipatch "sem pensar" para consertar muitos servidores com várias instalações magento. multipatch-7405.sh
fonte
Aqui está o meu plano de teste básico:
fonte
Esteja ciente do problema de sessões descartadas recentemente descobertas e corrigidas (?) Por Colin Mollenhour .
https://gist.github.com/colinmollenhour/5066a3220881a9c0c2dd42fa1593cbff/revisions
fonte
Se você atualizou do Magento EE 1.14.2.x para o Magento EE 1.14.2.3 em vez de aplicar o patch, e também aplicou o patch de suporte SUPEE-5984 antes, é necessário reaplicá-lo novamente, pois não está incluído no release .
Este foi o patch que corrigiu o indexador quebrado: Erro de índice após a atualização para o EE 1.14.2.0: a tabela catalog_product_entity_tmp_indexer não existe
fonte
Em 23 de fevereiro de 2016, o Magento lançou um patch para corrigir muitos desses problemas: https://magento.com/security/patches/supee-7405
Você precisa aplicar SUPEE_7405_v1 e SUPEE_7405_v1.1 em ordem.
fonte
Captura de tela para a página de detalhes do pedido de administrador, se estiver mostrando esse tipo de problema, siga as instruções abaixo para que funcione para mim !!
Solução
fonte
Sempre que instalamos um patch para um de nossos clientes, usamos a seguinte lista de verificação:
app/etc/applied.patches.listarquivo)Eu acho que é realmente tudo o que existe. Os patches foram projetados para serem instalados rapidamente e sem problemas. 9 em cada 10 vezes eles serão instalados perfeitamente e, nas outras vezes, temos backups. Contanto que você não esteja mexendo com os arquivos principais, tudo ficará bem.
fonte
app/etc/applied.patches.listarquivos afetados aqui para Magento EE
fonte
Depois de aplicar o SUPEE-7405 no Magento 1.14.1.0, obtive o erro:
O problema foi causado pelo método declarado _validateControllerInstance em
Após remover a segunda (mesma) declaração de função, o problema foi resolvido.
fonte
Eu recebi o seguinte erro após instalar o patch SUPEE-7405 ao tentar fazer login no admin.
porque esse arquivo foi substituído no pool de códigos local que não possui o
sendHeadersAndExitmétodo criado por esse patch.\app\code\local\Mage\Core\Controller\Response\Http.phpO método a seguir não existe. (Este é um novo método adicionado ao arquivo principal)Depois de adicionar isso ao problema de arquivo substituído desapareceu.
fonte
Um dos problemas que tive ao usar o SUPEE-7405 é o Image Upload Bugs
Portanto, verifico as alterações neste arquivo: lib / Varien / File / Uploader.php
diff --git lib / Varien / Arquivo / Uploader.php lib / Varien / Arquivo / Uploader.php --- --- - chmod ($ destinationFile, 0777); + chmod ($ destinationFile, 0640); --- --- - if (! (@ is_dir ($ destinationFolder) || @mkdir ($ destinationFolder, 0777, true))) { + if (! (@ is_dir ($ destinationFolder) || @mkdir ($ destinationFolder, 0750, true))) {Então, descobri duas maneiras de superá-lo:
Opção 1:
Realizo uma alteração manual no arquivo lib / Varien / File / Uploader.php para ajustar as permissões 0640/0750.
Opção 2: Como o Magento espera que o servidor web seja o proprietário dos arquivos do site:
http://devdocs.magento.com/guides/m1x/install/installer-privileges_after.html#privs-after
A outra maneira de resolver o problema é tornar o servidor da web o proprietário dos arquivos
chown -R web-server-user-name magento / raiz / caminho
O nome do usuário do servidor da web é geralmente www-data ou apache.
fonte