Security Update (2017-05) für Shops von GX2 2.0.15.4 - GX3 3.4.0.0 V1.2

Hallo Züli,

den Vorwurf lasse ich für die Installationsanleitung gelten . In der 2.0er Reihe wird der Updater nicht benötigt. Der Upload der Dateien schließt bereits die kritischen Schwachstellen für die dieses Security Update gemacht wurde .

 

Für die schnelle Klarstellung bekommt ihr in der GesamtNote noch ein Gut - und ein DankeSchön!

 

man wird nahezu genötigt, den Update-Service zu nutzen!

soviel zu Profi-Support und kostenlosen Updates...

 

Das ist so nicht richtig. Wir machen da ein Angebot, aber Zwang ist was anderes. Das ist eine zusätzliche Erleichterung, für Leute die garantiert sorgenfrei sein wollen, und im Ernst: Das kostet einen niedrigen zweistelligen Betrag für das Security Update.

Dinge, die auch gegen eine Nötigung sprechen:

Wir erstellen Updates und wir legen eine Anleitung bei, mit der viele Leute es schaffen das so zu installieren. Wir bieten Raum darüber zu reden, wenn was nicht klappt. Wir erklären viel, wir lösen Probleme auf.Wir achten auf unsere Schäfchen.

Wenn etwas nicht klappt oder jemand was vergeigt, lösen wir das wenn ein Ticket vorliegt normal kostenlos auf und bringens in Zeit einfach in Ordnung.

Was erwartest du als Kunde von uns mehr?

Ich hab übrigens gerade gesucht und gesehen, dass du gestern abend um 22 Uhr ein Ticket zu deinem Shop aufgemacht hast. Hast du aber mal überlegt, dass Wochenende ist, und irgendwann selbst wir ein wenig ausruhen wollen und müssen?

Wenn du sicher schnellen Zugriff auf uns möchtest, solltest du deinen Shop in der Woche bearbeiten, und nicht genau zum Wochenende, das ist dann sicher.

 

@Wilken (Gambio)

Vielen Dank für Deine Darstellung und Stellungnahme...

Ich erwarte keinesfalls am Wochenende eine Antwort zu erhalten. Die Öffnungszeiten von Gambio sind mir bestens bekannt. Natürlich war der Versuch des Updates am Freitag Abend nicht die beste Entscheidung, hab ich mir für's nächste mal gemerkt...

Es ist nur so, dass seit ich mich für Gambio entschieden habe - das Shopsystem ist wirklich gut gelungen mit sehr vielen Optionen - mir vieles angeeignet habe um hier einen ansprechenden Shop darzustellen, da die Anleitungen von Gambio nicht wirklich funktionieren und scheinbar nicht bei jedem User gehen.

Natürlich gibt es welche wo die Anleitung scheinbar reibungslos funktioniert, diese haben dann entweder richtig viel Ahnung im programmieren und merzen die Gambio-Fehler aus, oder Sie haben einfach Glück...

Aber wie dem auch sei hab ich ein Ticket aufgemacht, um mal zu sehen, ob es mit Hilfe von Gambio gelöst werden kann. Wäre mit das erste mal. Hilfe hab ich immer bekommen, leider selten eine Lösung.

Hier nochmals ein Dickes Lob an dieses Forum, da dies wenigstens ein probates Mittel ist, auch Lösungen zu bekommen!

 

Gambio angeschrieben - Standardmail erhalten...

Keinerlei Lösungsvorschläge...

Vom Support wurden Admindaten gefordert, obwohl mir Gambio tel. mitgeteilt hat, dass der Support keine Berechtigung hat sich mit Admindaten in den Kundenshop einzuloggen...

Verrückte Gambio-Welt...

 

Nach dem Update erhalte ich beim Speichern von Artikeln folgende Fehlermeldung:

Parse error: syntax error, unexpected '[', expecting ')' in /mnt/web101/a3/97/53040697/htdocs/shop/admin/includes/modules/set_product_data.inc.php on line 57
PARSE ERROR(4): "syntax error, unexpected '[', expecting ')'"

Die Datei ist so im Security Update für die Version 2.7.2.0 enthalten und die Zeile 57 ist

$product->setProductModel(new StringType(xtc_db_prepare_input(str_replace(['<', '>'], '', $_POST['products_model']))))

Was tun (außer die Datei aus dem Backup ersetzen)?

 

Welche PHP-Version hast du auf deinem Server? Sieht mir danach aus, als hättest du da was, das älter als PHP 5.4 ist. Ich würde dringend empfehlen auf mindestens PHP 5.6 zu aktualisieren, da auch PHP 5.4 schon lange aus dem Security-Support der PHP-Entwickler ist und quasi eine laufende Sicherheitslücke ist

 

Volltreffer, das war's! Die PHP-Version war tatsächlich noch 5.3. Ab welcher Version kann Gambio PHP 7?

 

Das geht ab einem Shop mit der Version 3.1.0.0

 

Wir haben soeben das Security Update in neuer Version (1.2) online gestellt.

Die neue Version behebt ein Problem, dass in Shops zwischen Version GX3 3.2.0.0 und 3.4.0.0 nach einspielen einer bisherigen Version des Security Updates 2017-05 auftreten kann. Konkret geht es um Contentmanager Einträge, bei denen sich in manchen Konstellationen keine Dateien aus media/content mehr als Inhalt eines Contents auswählen lassen.

Achtung: Bearbeitet man in betroffenen Versionen einen Contentmanager Eintrag, kann die Zuordnung beim abspeichern des Eintrags im worst case verloren gehen!

Kurzer Hintergrund:
Nach dem Securityupdate wirken härtere Filter auf einige Eingaben, um hier jedes Angriffsszenario sicher abzuwehren. Wir geraten in diesen Shopversionen nun teilweise in eine zu harte Filterung an dieser konkreten Stelle, der Eintrag wird damit beim Speichern verworfen.

Die Sicherheit des Shops ist, wenn eine vorherige Version des Security Updates eingespielt wurde, bereits nicht mehr gefährdet.

Wenn ein Shop älter als Version 3.2.0.0 ist, muss nichts unternommen werden. Ebenso muss nichts unternommen werden, wenn der Shop bereits auf eine aktuelle Version upgedated ist (also aktuell 3.4.1.1 oder 3.5.1.2).

Allen Shopbetreibern, die einen Shop zwischen 3.2.0.0 und 3.4.0.0 fahren, empfehlen wir das Update, um jegliche Eventualitäten auszuschliessen.

Nochmal kurz zusammengefasst:
Die neue Version des Updates ist nur für Shops relevant, die minimal Shopversion 3.2.0.0 und maximal Shopversion 3.4.0.0 haben, eine bisherige Version des Security Updates bereits eingespielt haben und das Problem im Contentmanager beobachten.

 

Danke für die Infos und das Update. Bei uns (Version 2.7.4.2) erscheint seit ca. 20min folgende Meldung nach dem Update:



Der Shop scheint problemlos zu funktionieren. Die Caches haben wir dann per Hand geleert, wie in der Anleitung beschrieben.

Nun die Frage: wurde das Update schon installiert oder wurde der Vorgang noch nicht abgeschlossen?

 

Der Cacheaufbau ist ein dem Update nachgelagerter Vorgang, wenn das also bereits ferig ist. Ohne frische Caches werden die Änderungen nicht wirksam, darum muss das am Ende sein. Wer bei egal welchem Update so weit kommt, hat im Prinzip schon gewonnen.

 

Hallo,


kurze Frage: ich habe gerade das Security Update gemacht/machen wollen. Nachdem ich die Inhalte aus dem Verzeichnis Dateien auf den FTP-Server geladen habe wollte ich den Shop aufrufen um wie in der Installationsanleitung beschrieben den Gambio Updater aufzurufen.


Der Shop ist nun nich mehr erreichbar und diese Meldung kommt wenn ich (Link nur für registrierte Nutzer sichtbar.) aufrufe:

Warning: require_once(/kunden/496966_71277/gambio-shop/system/core/logging/LogEvent.inc.php): failed to open stream: No such file or directory in /kunden/496966_71277/gambio-shop/includes/application_top.php on line 80

Fatal error: require_once(): Failed opening required '/kunden/496966_71277/gambio-shop/system/core/logging/LogEvent.inc.php' (include_path='.:/usr/local/lib/php') in /kunden/496966_71277/gambio-shop/includes/application_top.php on line 80

und wenn ich (Link nur für registrierte Nutzer sichtbar.) aufrufe kommt Fehler 403.

Was kann ich tuen?

 

Fehler sagt es fehlt eine Datei. Hast du evtl.- übertragungsfehler gehabt beim Upload?
Oder in Windows das Paket auf dem Desktop oder in eigene Dateien entpackt gehabt? Da wären die Pfade zu lang und Dateien werden zerstört.
AM Besten dann direkt unter c:\Gambio entpacken
Neu hochladen.

 

Habe die Datei noch mal entpackt und noch mal hochgeladen aber da passiert garnichts. Ich lade jetzt erstmal das Backup wieder hoch damit der Shop wieder geht hoffentlich.

 

Schick ein Ticket an den Support bevor du jetzt neue und alte Dateien vermischst.
und hast es auch an die richtige Stelle hochgeladen? nicht das es in einem Unterordner gelandet ist?

 

Haben (oder können) die Security-Updates irgendwelche Auswirkungen auf Umbauten im Shop haben?

Ist es ausreichend, nur das "(Link nur für registrierte Nutzer sichtbar.)" zu installieren? Wohin ist eigentlich die V1.1 im Downloadportal verschwunden? Kann man die vernachlässigen oder muss man die vorher installieren?

 

Da das eine völiig pauschale Frage ist: Ja. Man kann alles umbauen, wir sind Opensource. Da das SecurityUpdate ebenfalls Dinge verändert, sind Wechselwirkungen möglich. Gehört schon etwas Pech dazu, aber ohne Details gehts nicht besser.

1.2 ersetzt 1.1.

 

Okay. Ich habe das nun mal entpackt. Ich dachte, da ist nur was mit dem GProtector drin.

Bei meinem Glück ... ich mach dann erstmal ne Datensicherung ... die jetzt übrigens per Shop funktioniert