Products.PloneHotfix20210518 1.6

Plone修复程序，2021-05-18

此修复程序修复了多个安全问题

• 通过别名在表达式中的遍历执行远程代码。由David Miller报告。

• 通过表达式（无别名）中的遍历执行远程代码。由Calum Hutton报告。

• 通过字符串格式化程序在表达式中的遍历执行远程代码。由David Miller报告。

• 通过docutils和Python脚本写入任意文件。由Calum Hutton报告。

• 从文件上传（svg、html）中存储XSS。由Emir Cüneyt Akkutlu和Tino Kautschke分别报告。

• CMFDiffTool中的XSS漏洞。由Igor Margitich报告。

• 在各种位置上反射XSS。由Calum Hutton报告。

• 各种信息泄露：GS、QI、all_users。由Calum Hutton报告。

• 从用户全名中存储XSS。由Tino Kautschke报告。

• 通过feedparser访问内部URL的盲SSRF。由Subodh Kumar Shree报告。

• 通过事件ical URL的服务器端请求伪造。由MisakiKata和David Miller报告。

• 通过lxml解析器的服务器端请求伪造。由MisakiKata和David Miller报告。

• 在Plone 5.0及更高版本中文件夹内容上的XSS。由Matt Moreschi报告。仅从修复程序的1.5版本开始包含。

• 通过Python脚本远程代码执行。由Calum Hutton报告。仅Plone 5.2在Python 3上存在漏洞。自热补丁版本1.6起包含在内。

兼容性

此热补丁应应用于以下版本的Plone

• Plone 5.2.4和任何更早的5.2.x版本

• Plone 5.1.7和任何更早的5.1x版本

• Plone 5.0.10和任何更早的5.0.x版本

• Plone 4.3.20和任何更早的4.x版本

根据Plone 版本支持策略，Plone安全团队在以下版本的Plone上正式支持此热补丁：4.3.20，5.0.10，5.1.7和5.2.4。

在Plone 4.3，5.0和5.1上，热补丁仅在Python 2.7上得到官方支持。在Plone 5.2.X上，它支持Python 2.7和Python 3.6/3.7/3.8。

此处包含的修复将纳入Plone的后续版本，因此Plone 5.2.5及以上版本不需要此热补丁。

Zope

Zope也受到影响。有Zope和其他软件包的新版本可用。升级到这些版本是推荐的做法。

如果您还不能升级，可以尝试Plone热补丁。它仅在Zope上未经测试，但我们尽量不让Plone特定的代码妨碍，因此应该没有问题。

上述提到的漏洞与Zope相关

• 通过别名在表达式中的遍历远程代码执行。Zope 4.6和5.2中发布的修复。

• 通过表达式（无别名）中的遍历远程代码执行。Zope 4.6.1和5.2.1中发布的修复。

• 各种信息泄露。在Products.PluggableAuthService 2.6.0，Products.GenericSetup 2.1.1和Zope 4.5.5中发布的修复。

• 在各种位置反射XSS。在Products.CMFCore 2.5.1和Products.PluggableAuthService 2.6.2中发布的修复。

• 通过字符串格式化器在表达式中的遍历远程代码执行。Zope 4.6.2中发布的修复，它接管了来自Zope 5.2.1的更严格代码。

• 通过Python脚本远程代码执行。在Zope 4.6.3和5.3中发布的修复。

安装

安装说明可在https://plone.org/security/hotfix/20210518找到

问答

问：我如何确认热补丁已正确安装并且我的站点受到保护？

答：在启动时，热补丁将在Zope事件日志中记录许多消息，如下所示

2021-05-18 14:07:24,176 INFO    [Products.PloneHotfix20210518:43][MainThread] Applied expressions patch
2021-05-18 14:07:24,179 INFO    [Products.PloneHotfix20210518:43][MainThread] Applied genericsetup patch
2021-05-18 14:07:24,181 INFO    [Products.PloneHotfix20210518:43][MainThread] Applied pas patch
2021-05-18 14:07:24,182 INFO    [Products.PloneHotfix20210518:43][MainThread] Applied propertymanager patch
2021-05-18 14:07:24,183 INFO    [Products.PloneHotfix20210518:43][MainThread] Applied skinnable patch
2021-05-18 14:07:24,187 INFO    [Products.PloneHotfix20210518:43][MainThread] Applied xmlrpc_dump_instance patch
2021-05-18 14:07:24,188 INFO    [Products.PloneHotfix20210518:43][MainThread] Applied difftool patch
2021-05-18 14:07:24,238 INFO    [Products.PloneHotfix20210518:43][MainThread] Applied event patch
2021-05-18 14:07:24,244 INFO    [Products.PloneHotfix20210518:43][MainThread] Applied modeleditor patch
2021-05-18 14:07:24,246 INFO    [Products.PloneHotfix20210518:43][MainThread] Applied namedfile patch
2021-05-18 14:07:24,283 INFO    [Products.PloneHotfix20210518:43][MainThread] Applied pa_users patch
2021-05-18 14:07:24,367 INFO    [Products.PloneHotfix20210518:43][MainThread] Applied portlets patch
2021-05-18 14:07:24,369 INFO    [Products.PloneHotfix20210518:43][MainThread] Applied publishing patch
2021-05-18 14:07:24,371 INFO    [Products.PloneHotfix20210518:43][MainThread] Applied qi patch
2021-05-18 14:07:24,372 INFO    [Products.PloneHotfix20210518:43][MainThread] Applied supermodel patch
2021-05-18 14:07:24,500 INFO    [Products.PloneHotfix20210518:43][MainThread] Applied theming patch
2021-05-18 14:07:24,634 INFO    [Products.PloneHotfix20210518:43][MainThread] Applied transforms patch
2021-05-18 14:07:24,634 INFO    [Products.PloneHotfix20210518:51][MainThread] Hotfix installed

应用补丁的确切数量将因您使用的包而异。如果尝试应用补丁但失败，将记录为错误，显示“无法应用”。这表明您可能有一个非标准Plone安装。请进行调查，并在您认为热补丁中存在问题的情况下，将伴随的跟踪信息发给我们。

问：我如何报告安装补丁时的问题？

答：请联系Plone安全团队security@plone.org，或访问Gitter频道https://gitter.im/plone/public和论坛https://community.plone.org。

问：我如何报告其他潜在的安全漏洞？

答：请通过电子邮件向安全团队security@plone.org报告，而不是公开讨论潜在的安全问题。

变更日志