Onderwerp: WHMCS Security Advisory

Ik kreeg zojuist dit mailtje:

========================================WHMCS Security Advisory for 4.x, 5.x
http://blog.whmcs.com/?t=69402
========================================


WHMCS has released new patches for the 4 and 5 series. These updates provide
targeted changes to address security concerns with the WHMCS product. You are
highly encouraged to update immediately.


WHMCS has rated these updates as including critical and important security
impacts. Information on security ratings is available at
http://go.whmcs.com/74/securitylevels.


++++++++++++
Releases
++++++++++++
The following versions of WHMCS address all known vulnerabilities:
5.0.4
5.1.4
STABLE 5.2.1


The latest public releases of WHMCS are available inside our members area at
https://www.whmcs.com/members/clientarea.php


++++++++++++++++++++++++++++++++++++
Security Issue Information
++++++++++++++++++++++++++++++++++++
The resolved security issues were all identified by Vlad C. of NetSec
Interactive Solutions <http://safeornot.net>. There is no reason to
believe that these vulnerabilities are known to the public. As such, WHMCS will
only release limited information regarding the vulnerabilities at this time.


Once sufficient time has passed to allow WHMCS customers to update their
installed software, WHMCS will release additional information regarding the
nature of the security issues. These Targeted Security Releases and Patches
address 6 vulnerabilities in WHMCS version 4.0, 4.1, 4.2, 4.3, 4.4, 4.5, 5.0,
5.1, and BETA 5.2. Additional, supplemental information is scheduled to be
released April 9th, 2013.


++++++++++++
Mitigation
++++++++++++


------------------
WHMCS Version 4.x
------------------
Download and apply the appropriate patch files to protect against these
vulnerabilities.


Patch files for affected versions of the 4.x series are located on the WHMCS
site as itemized below.


4.0 series: http://www.whmcs.com/download/170/12mar2013patchv40
4.1 series: http://www.whmcs.com/download/174/12mar2013patchv41
4.2 series: http://www.whmcs.com/download/178/12mar2013patchv42
4.3 series: http://www.whmcs.com/download/182/12mar2013patchv43
4.4 series: http://www.whmcs.com/download/186/12mar2013patchv44
4.5 series: http://www.whmcs.com/download/190/12mar2013patchv45


To apply the patch, simply download the appropriate patch file specific to the
WHMCS version you are running, extract the contents, and upload the files from
the /whmcs/ folder to your installation.


No install or upgrade process is required.


------------------
WHMCS Version 5.x
------------------
Download and apply the appropriate full-version of WHMCS to protect against
these vulnerabilities.


Full-versions for the affected version of the 5.x series are located in the
WHMCS members area download section, under your license details.


v5.0.4
v5.1.4
v5.2.1 STABLE


When updating from v5.2.0 BETA to v5.2.1 STABLE, you must perform an upgrade.
The upgrade process is described here:
http://docs.whmcs.com/Upgrading#Performing_an_Upgrade


When updating from v5.0.3 or v5.1.3, the upgrade process is not required. To
apply the full-version, simply download the appropriate file specific to the
WHMCS version you are running, extract the contents, and upload the files from
the /whmcs/ folder to your installation.


================================================== ==============================


WHMCS Limited
www.whmcs.com


- Support: http://support.whmcs.com/
- Documentation: http://docs.whmcs.com/
- Members Area: http://www.whmcs.com/members/

Opmerking: als je gebruikt maakt van een nulled WHMCS versie dan kan je de update dus niet downloaden. Ik raad aan om te betalen voor een licentie. Reden dat ik dit opmerk is dat ik toch zo nu en dan een illegale versie tegen kom.

Ik zat al op te kijken dat V5.2.1 uit was (ik wist dit nog niet). Maar die is kennelijk vandaag uitgekomen:

We are excited to announce the release of WHMCS Version 5.2. This update contains many exciting new features and improvements, as well as some Important Security Updates (ref: http://blog.whmcs.com/?t=69402)



One of the major highlights of this release is the introduction of Two-Factor Authentication. Both yours and your clients' security is of the utmost importance to us, and the introduction of Two-Factor Authentication support to WHMCS for both staff and clients allows you to add an additional layer of security to the login process. Two-Factor works by taking the password you already use, and combining it with an item which only you have, such as your phone in most cases, which will allow WHMCS to verify it's you and only you logging in to your account.

For a detailed list of changes, please refer to the full Changelog which is available @ http://changelog.whmcs.com/

The update is available to download immediately from our client area, and instructions for how to upgrade can be found in our docs @ http://docs.whmcs.com/Version_5.2_Release_Notes

As always, we are offering our professional upgrade service where we handle the entire update process for you. For more details or to order, visit www.whmcs.com/upgrade-service

Stay tuned to our blog over the next few days and weeks for in depth looks at some of the new functionality.

We thank you for choosing WHMCS.

Bron: http://blog.whmcs.com/?t=69406

Zitten hier ook nog in 5.1 serie. Paar files uploaden en dat is het. Werkt hier zonder problemen so far.

Oorspronkelijk geplaatst door Yourwebhoster

Opmerking: als je gebruikt maakt van een nulled WHMCS versie dan kan je de update dus niet downloaden. Ik raad aan om te betalen voor een licentie. Reden dat ik dit opmerk is dat ik toch zo nu en dan een illegale versie tegen kom.

Mensen die dat doen, raad ik vooral aan om zich diep te schamen.

Update: WHMCS heeft een update van de patch uitgegeven omdat - zoals vaker - de update een aantal dingen kapot heeft gemaakt.
http://forum.whmcs.com/showthread.ph...dvisory-Update

Hier maakt juist de geupdate patch de boel stuk. Worden geen nieuwe facturen meer aangemaakt, enkel de automatische reminders gaan de deur uit. De eerste patch had dit probleem niet.

edit: zie dat 5.1.5 er nu ook is, maar ook deze lost het probleem niet op.

Welk bestand roep je aan in de cron? Dit lijkt gewijzigd te zijn.

Oorspronkelijk geplaatst door rensariens

Hier maakt juist de geupdate patch de boel stuk. Worden geen nieuwe facturen meer aangemaakt, enkel de automatische reminders gaan de deur uit. De eerste patch had dit probleem niet.

edit: zie dat 5.1.5 er nu ook is, maar ook deze lost het probleem niet op.

Ik heb hier geen last van, cron draait naar behoren. Krijg je nog wel een mailtje dat de cron gedraaid heeft (en kan je dit in de logs terug vinden van whmcs zelf)?

Oorspronkelijk geplaatst door Yourwebhoster

Ik heb hier geen last van, cron draait naar behoren. Krijg je nog wel een mailtje dat de cron gedraaid heeft (en kan je dit in de logs terug vinden van whmcs zelf)?

Ja (reminders worden wel verstuurd) en de "generate due invoices" knop in WHMCS geeft ook enkel 0 invoices generated.

Ik kom overigens vanaf 5.1.2.. Zitten wel wat tegenstrijdigheden in de upgrade teksten van WHMS. Mogelijk dat het een goed idee is om de volledige patch te gebruiken in plaats van de incremental. Maak me echter meeste zorgen over WHMCS support welke met een oplossing zullen moeten komen. Heb erg slechte ervaringen met ze en we hebben zelfs een bugreport al meer dan 1.5 jaar open staan waar ze uberhaupt niet meer op reageren. Wordt tijd om naar andere systemen te kijken (Hostbill?).

Vermoed dat het door frebruari komt en het er dus niks mee te maken heeft. Sturen 14 dagen van te voren de volgende factuur alvast op. Lijkt er op dat als de 31e niet bestaat dit de 1e van de maand wordt en zoals in februari dus alles van de 30e op de 1e wordt gezet en de 31e op de 2e van de volgende maand. Denkfoutje aan deze kant dus Door al die patches op patches ga je er al snel vanuit dat het een bug betreft.

Hier komt met de incremental naar 5.2.2 (vanaf 5.2.1) de database backup niet meer in de mailbox lijkt het. De rest lijkt nog wel goed te functioneren.

Eind vorige week ook hier upgradet.
Voorheen kreeg ik altijd 's nachts een mooie mail van de cron, maar die komt nu niet meer binnen. Ook als ik hem handmatig uitvoer, krijg ik geen mail. In de logs van WHMCS wel keurig te zien dat de cron gelopen heeft.
Overigens is er afgelopen dagen niks gebeurt qua facturen, opzeggingen, etc. etc. Kan het zo zijn dat in deze nieuwe versie je alleen nog een e-mail krijgt wanneer er daadwerkelijk iets gebeurt is?

Oorspronkelijk geplaatst door Mark17

Hier komt met de incremental naar 5.2.2 (vanaf 5.2.1) de database backup niet meer in de mailbox lijkt het. De rest lijkt nog wel goed te functioneren.

Die functionaliteit gebruik ik al een tijd niet omdat het bleek dat niet alle tabellen werden meegenomen. Ik heb niet getest of dit opgelost is omdat zelf al backups worden gemaakt (van het gehele systeem).

Oorspronkelijk geplaatst door magentohosting

Eind vorige week ook hier upgradet.
Voorheen kreeg ik altijd 's nachts een mooie mail van de cron, maar die komt nu niet meer binnen. Ook als ik hem handmatig uitvoer, krijg ik geen mail. In de logs van WHMCS wel keurig te zien dat de cron gelopen heeft.
Overigens is er afgelopen dagen niks gebeurt qua facturen, opzeggingen, etc. etc. Kan het zo zijn dat in deze nieuwe versie je alleen nog een e-mail krijgt wanneer er daadwerkelijk iets gebeurt is?

Ik krijg altijd een e-mail. Waarschijnlijk breekt het script ergens af (alleen dan krijg je geen e-mail). Heb het wel eens gehad bij een foutje in een module.

Oorspronkelijk geplaatst door Yourwebhoster

Ik krijg altijd een e-mail. Waarschijnlijk breekt het script ergens af (alleen dan krijg je geen e-mail). Heb het wel eens gehad bij een foutje in een module.

Thanks, morgen maar is verder bekijken dan.

Oorspronkelijk geplaatst door magentohosting

Thanks, morgen maar is verder bekijken dan.

Tip: kijk welke stappen je in de logs kan terugvinden van een datum waar je wel nog een mail van kreeg en vergelijk dat met de laatste cron. Zo heb ik het gevonden.