https___www.joomla.org_announcements_release-news_5678-joomla-3-6-4-released.html.xml
http___forum.joomla.hr_index.php_topic_4896.0_1.xml
1.1 1.2 1.3 1.4 1.5 2.1 2.2 3.1 4.1 5.1 6.1 6.2 7.1 7.2 8.1 8.2 9.1 10.1 11.1 12.1 13.1 14.1 15.1 16.1 16.2 17.1 18.1 19.1 20.1 20.2 21.1 21.2 22.1 22.2 22.3 23.1 24.1 25.1
Joomla! 3.6.4 is now available. This is a security release for the 3.x series of Joomla! which addresses three critical security vulnerabilities and a bug fix for two-factor authentication. We strongly recommend that you update your sites immediately. This release only contains the security fixes and bug fix; no other changes have been made compared to the Joomla! 3.6.3 release. What's in 3.6.4 Version 3.6.4 is released to address two critical security issues and a bug regarding two-factor authentication. Security Issues Fixed - High Priority - Core - Account Creation (affecting Joomla! 3.4.4 through 3.6.3) More information » - High Priority - Core - Elevated Privileges (affecting Joomla! 3.4.4 through 3.6.3) More information » - High Priority - Core - Account Modifications (affecting Joomla! 3.4.4 through 3.6.3) More information » Bug Fixes - [#12497] Two-Factor Authentication encryption fix Please see the documentation wiki for FAQ’s regarding the 3.6.4 release. Download New Installations:Download Joomla! English (UK), 3.6.4 Full Package Upgrade Packages:Upgrade Packages Joomla! 3 upgrade packages Note: Please read the update instructions before updating. Please remember to clear your browser's cache and any webhost or CDN caching after updating. A Huge Thank You! Thank you to the Joomla! Security Strike Team for their swift resolution of this issue. Joomla! Security Strike Team A big thanks to the Joomla! Security Strike Team for their ongoing work to keep Joomla! secure. Members include: Beat B., Brian Teeman, Mark Boos, Luca Marzo, Marco Dings, Thomas Hunziker, David Jardin, Alan Langford, Jean-Marie Simonet, Phil Taylor, Viktor Vogel, George Wilson, Davide Tampellini, André Pereira da Silva, Peter Martin, Claire Mandville and Yves Hoppe. Security Team Leadership: Michael Babker, Coordinator Image Credit: Elisa Foltyn
1.1 1.2 1.3 2.1 2.2 3.1 3.2 4.1 5.1 6.1 6.2 7.1 7.2 8.1 8.2 9.1 10.1 10.2 11.1 12.1 13.1 14.1 15.1 16.1 16.2 17.1 18.1 18.2 18.3 19.1 21.1 21.2 21.3 21.4
Joomla! 3.6.4 je objavljena. Ovo je sigurnosno izdanje za Joomla 3.x seriju. Ovo izdanje ispravlja dvije kritične sigurnosne pogreške i ispravak buga kod dvofaktorske autentikacije. Jako preporučamo da nadogradite svoje Joomle 3 što je prije moguće.Što sadrži 3.6.4? Izdanje 3.6.4 ispravlja dvije kritične sigurnosne pogreške i bug nastao u 2FA (dvofaktorskoj autentikaciji) u Joomli 3.6.3.Ispravljeni sigurnosni propusti Ispravljeni pogrešaka u kodu - Visoki prioritet - Core - Izrada korisničkog računa (zahvaća Joomla! 3.4.4 do 3.6.3) - više informacija - Visoki prioritet - Core - Podizanje korisničkih prava (zahvaća Joomla! 3.4.4 do 3.6.3) - više informacija Za poznate probleme s Joomla! 3.6.4 izdanjem pogledajte Verzija 3.6.4 FAQ na stranici s dokumentacijom.VAŽNO! - #12497 - Ispravak enkripcije kod dvofaktorske autentikacije, problem koji je onemogućio sve korisnike 2FA da se prijave na svoj website nakon nadogradnje na 3.6.3 Update s Joomli 3.4.x ili 3.5.x na 3.6.4 ne možete raditi putem Extension Managera! Koristite Update funkciju ili ručnu nadogradnju kako je opisano u dokumentaciji .PreuzimanjaNove instalacije: Kliknite ovdje za download Joomla 3.6.4 (Puni paket) » - nove upute za instalaciju i tehnički zahtjeviNadogradnja: Kliknite ovdje za download Joomla 3.6.4 (Paket nadogradnje) » - napomena: molimo pročitajte upute za nadogradnju prije nadogradnje. - molimo ne zaboraviti isprazniti cache preglednika nakon izvršene nadogradnjeOgroman Hvala! za sve naše volontere! Zahvaljujemo članovima Joomla JSST tima koji je promptno ispravio ove pogreške.Napomena autora ove obavijesti Ja kao programer, kojeg osobito interesira segment informacijske sigurnosti web aplikacija, član OWASP-a, prijavio sam svoju zabrinutost vezano za ispravak patch koji ispravlja bug vezan za enkripciju konfiguracijskih podataka za dvofaktorsku autentikaciju. Patch sadržan u git pull requestu #12497 (link vidi gore) ujedno i isključuje enkripciju privatnog tajnog ključa koji sustav dobiva od Google Authenticator aplikacije. Prema RFC 6238 kod implementacije se strogo preporuča da se tajni ključ za generiranje vremenski baziranih jednokratnih lozinki od 6 brojeva (TOTP) sprema enkriptiran Moje detaljno objašnjenje možete pronaći na na službenom GitHub Bug Trackeru Moja preporuka je da imate na umu da je trenutni način zapisivanja tajnog ključa promjenjen i zapisuje se kao neenkriptirani tekst. Ako se netko dokopa backupa baze biti će u mogućnosti sam generirati iste šestobrojne jednokratne lozinke kao i vaš Google Authenticator! Time je poništena korisnost 2FA sve dok se ovo ne ispravi i ponovo vrati enkripcija tajnog ključa. Ja ću sada prijaviti ovaj problem direktno JSST timu, iako su članovi tog tima prisutni i na tom ticketu.