WHMCS Security Advisory 2020-01-28

[Thiago Sabaia 696]

Olá,

Estamos escrevendo para informá-lo sobre uma potencial vulnerabilidade de segurança quando as directivas htaccess não são aplicadas de forma adequada para WHMCS. Isso ocorre mais comumente em ambientes de servidores web, tais como nginx.

Versões afetadas

WHMCS 6.0 e posterior

Como saber se você é afetado

Se o seguinte arquivo pode ser lido a partir de um navegador web, então você precisa investigar e aplicar as configurações apropriadas para o seu ambiente de servidor web.

 

https://www.example.com/path/to/whmcs/vendor/composer/LICENSE

 

A ferramenta de verificação também foi disponibilizado para ajudar a determinar se o seu ambiente de servidor web é afetado. Esta ferramenta pode ser baixado aqui .

Como corrigir a vulnerabilidade

Por favor, siga as instruções fornecidas no aviso de segurança detalhado:

WHMCS Security Advisory 2020/01/28

WHMCS está aqui para ajudar, se não tiver certeza se o seu sistema está impondo diretivas do .htaccess você pode abrir um ticket de suporte para obter assistência.

Atenciosamente,
WHMCS

[chuvadenovembro 335]

Ainda bem que não precisa atualizar, menos mal.

Para quem decidir baixar a ferramenta de verificação, após execução do script no navegador, terá um botão para remoção do próprio arquivo do servidor, achei bem útil.

[dbbrito 0]

Amigos, a ferramenta só verifica a vulnerabilidade, já testei em vários servers e todos estão com  a vulnerabilidade e todos usam apache, mas na ferramenta não tem nada explicando como resolver, alguém tem noção do que fazer?

[LucianoZ 445]

2 minutos atrás, dbbrito disse:

Amigos, a ferramenta só verifica a vulnerabilidade, já testei em vários servers e todos estão com  a vulnerabilidade e todos usam apache, mas na ferramenta não tem nada explicando como resolver, alguém tem noção do que fazer?

Só negar acesso a pasta vendor do whmcs.

[dbbrito 0]

Amigos, o meu eu resolvi da seguinte forma no meu centos 7: 

FAÇA ISSO POR SUA CONTA E RISCO, E ANTES FAÇA UM BACKUP!!!

edite o arquivo /etc/httpd/conf/httpd.conf

Dentro do arquivo procure pela diretiva <Directory "/var/www/html"> e altere o trecho...

AllowOverride None
 

para...

AllowOverride All

Reinicie o Apache!

Limpe o cache do seu navegador ou F5 para atualizar a página e verá que não tem mais acesso ao aquivo   ...../whmcs/vendor/composer/LICENSE