Bloggr » sicurezza

WordPress 2.6.5: aggiornamento di sicurezza

pi3tr0 — Wed, 26 Nov 2008 08:01:26 +0000

WordPress 2.6.5 è disponibile per il download.
L’aggiornamento del famoso CMS risolve 3 bug e un problema di sicurezza che riguarda un possibile exploit XSS che affligge solo le installazioni su macchine virtuali (virtual server).

Per chi è interessato alla risoluzione del problema di sicurezza può copiare e fare l’upgrade dei soli file wp-includes/feed.php e wp-includes/version.php della versione 2.6.5.

Si passa direttamente dalla versione 2.6.3 alla 2.6.5 saltando la numero 2.6.4.

link → http://wordpress.org/development/2008/11/wordpress-265/

TAC (Theme Authenticity Checker)

pi3tr0 — Wed, 01 Oct 2008 06:58:30 +0000

Vi piace scaricare e provare sempre nuovi temi per il vostro blog?

Se è così, se proprio non riuscite a fare a meno di cambiare il look al vostro blog scaricando temi da qualsiasi sito internet, allora questo è il plugin che fa’ per voi.

TAC (Theme Authenticity Checker) è un plugin che controlla che i temi presenti sul blog, anche quelli non attivi, non contengano codice malevolo.

Il plugin cerca prevalentemente codice JavaScript potenzialmente pericoloso e segnala tutti i link verso altri siti contenuti nel tema, anche quelli che riguardano l’autore del tema e che naturalmente per motivi di copyright non è possibile/corretto rimuovere.

Il codice che il plugin segnala come potenzialmente malevolo non è detto che lo sia veramente, potrebbe trattarsi di codice criptato scritto per “beccare” coloro che si appropriano del lavoro altrui rimuovendo i link del copyright. Se il plugin vi segnala codice malevolo avete quindi 2 possibilità: cancellare il tema o eseguire il codice per vedere a cosa porta. Io vi consiglio di tagliare la testa al toro e cancellare il tema.

link → http://builtbackwards.com/projects/tac/

WordPress Exploit Scanner

pi3tr0 — Sat, 19 Jul 2008 07:44:58 +0000

WordPress Exploit Scanner è un plugin che cerca nei file e nel database di Wordpress per cercare “segni” di attività sospette.
Non si tratta quindi di un filtro che può fermare i tentativi di cracking, ma solo uno strumento che ci può aiutare a trovare eventuali file compromessi nei post, nei commenti e negli altri plugin.

Quando un sito web viene compromesso vengono lasciati dei contenuti nascosti che questo plugin può scovare.

Il plugin è ancora alla versione 0.1, quindi non molto preciso nei risultati.
L’ho usato su un vecchio blog di un amico non aggiornato da un paio di anni e ha trovato 7 file “sospetti”, 5 appartenenti allo stesso plugin (secondo lo sviluppatore questo è un indizio che funziona), uno all’editor TinyMCE e uno alla funzione di importazione post da Blogger.

Ho sostituito i 2 file con gli originali forniti sul sito Wordpress ma la situazione non è cambiata.

Se notate attività sospette sul vostro blog installatelo e provatelo, ma non fatevi prendere dal panico se il plugin trova file compromessi, nella maggior parte dei casi si tratta di falsi positivi.

link → http://ocaoimh.ie/exploit-scanner/

Sicurezza: eliminare la versione di Wordpress dal codice

pi3tr0 — Thu, 19 Jun 2008 08:41:07 +0000

La maggior parte dei temi che si trovano su internet aggiungono nel codice delle pagine generate la versione attualmente installata di Wordpress

<meta name="generator" content="WordPress 2.5.1" />

dando in pasto a malintenzionati utili informazioni per attaccare il vostro blog.

Fino a Wordpress 2.3.x bastava rimuovere il seguente codice dal proprio tema per risolvere il problema:

Da Wordpress 2.5.x invece il numero di versione viene automaticamente aggiunto da Wordpress, per rimuoverlo è necessario aggiungere questo codice
remove_action('wp_head', 'wp_generator');
al file functions.php del vostro tema.

Se il vostro tema non ha questo file basta crearne uno vuoto e inserire questo codice:
remove_action('wp_head', 'wp_generator'); ?>

Wordpress 2.5.1: aggiornamento

pi3tr0 — Fri, 25 Apr 2008 23:12:22 +0000

Come previsto, vista la gran quantità di problemi riscontrati in Wordpress 2.5, è già arrivato il primo aggiornamento.

Si tratta di una versione che sistema un bel po’ di bug (oltre 70) e migliora le performance, ma che contiene anche un’importante correzione ad una falla di sicurezza, quindi è raccomandato l’aggiornamento immediato, sopratutto per blog che hanno attivato la registrazione degli utenti.

Per chi è interessato solo alla sicurezza, può scaricare e sostituire i soli file wp-includes/pluggable.php, wp-admin/includes/media.php, e wp-admin/media.php
da questa pagina.

I principali aggiornamenti riguardano:

migliori performance di Bacheca, Scrivi post e Modifica commenti
migliori prestazioni per chi ha molte categorie
fix alla modalità di upload dei Media
aggiornamento dell’editor avanzato alla versione TinyMCE 3.0.7
fix al layout di IE

link → download

Wordpress 2.3.2: aggiornamento urgente

pi3tr0 — Sat, 29 Dec 2007 23:55:48 +0000

È stata rilasciata un’ora fa una versione di Wordpress (la 2.3.2) che corregge una grave vulnerabilità.
È stato scoperto un bug nelle versioni 2.3.x che permette a qualsiasi utente di leggere tutti gli articoli pre programmati con data futura.

Qualsiasi persona, digitando l’indirizzo http://www.TUOBLOGG.it/index.php/wp-admin/

accede a tutti gli articoli con data futura.

Altri piccoli bug sono stati corretti.

È stata inoltre aggiunta la possibilità di creare una pagina di errore personalizzata per quando Wordpress non riesce a collegarsi al database.

http://wordpress.org/development/2007/12/wordpress-232/