ISP Manager - критическая уязвимость.

Вам уже напомнили о наличии лицензий с саппортом, или просто проигнорировали тикет? :)

По поводу обновления исп - Жара, кофе и так пагубно влияют на сердце. Как думаете, сей час обновляться (со всеми возможными вытекающими от isp) обязательно, или можно подождать? )

masterlan, я не просил помощи и ответ мне ненужен был. Я писал только ради того чтобы сказать ФЕ, а они уже как хотят, по этом писал не в тех отдел.

Не ждать! Немедленно!

Умиляет подход некоторых компаний, когда в ответ на баг-репорт они вопрошают о наличии лицензии, сроках поддержки, почему не с контактного ящика.. и прочую муть... При том, что баг подробно описан и воспроизводится..

Самое время для фразы: "А чего вы хотели за n-евро?" 🤪

Критические баги бывают у всех ( whmcs, solusvm ), но там была заботливая рассылка, от ISPSystem - ничего.

Все уже забыли, как ломанули базу тикетов в cPanel и об этом несколько дней писали на WHT до того как cPanel все же призналась..

Хм. перепробовал все сервера кроме by по несколько раз, пока обновилась панель до:

Нормальный ход, или они что-то там у себя правили?

Этого полностью достаточно.

Баги, дыры бывают везде. Но возникает вопрос, как работать с разработчиками, которые не уведомляют об критических уязвимостях. Это же не мелкий баг, а кража брута. А после еще неизвестно найдете ли все бэкдоры и т.д.

Не хотят проблем после обновления. Некоторые ждут некоторое время после обновления. Смотрят все ли ок, и только после этого обновляются. Было бы хорошо, если ispsystem начали уведомлять сообщество о таких "горячих обновлениях".

Добрый вечер!

Точка зрения разработчиков абсолютно понятна и правильна -- если уязвимость не была опубликована и осталась известна лишь узкому кругу людей, то для клиентов будет безопаснее, если к ней не будет привлечено дополнительное внимание.

Ведь даже после глобального анонса всё равно останется огромное количество необновившихся клиентов. Но уязвимость уже перейдёт из разряда слухов в разряд официально подтверждённых и "кулхакеры" начнут более тщательно искать пути её эксплуатации.

Сообщение об этой уязвимости уже было опубликовано (в том числе на СЕ, но почему-то почти не вызвало обсуждения в той ветке), и мы решили предупредить клиентов.

Если посмотреть форум ISPsystem, то можно увидеть, что проблемы периодически находятся, и ISPsystem не стесняются выкладывать в паблик факты нахождения проблем. Так что "грамотный аналитик" может мониторить указанный раздел форума и обновлять продукты, когда выходит следующая после очередного поста версия.

Я уверен почти на 100%, что в остальных продуктах уязвимости находятся не реже, но рассылка происходит только если уязвимость уже утекла в паблик до исправления на большинстве инсталляций. Попытки найти какую-либо корреляцию между ценой/страной производителя/прочими показателями и анонсом в паблик выглядят глупо.

В таком случае стоило бы хотя бы информировать партнёров компании, а не сидеть и отмалчиваться, как они обычно поступают!