Al lupo… al lupetto… al cucciolo

Un utente ci ha segnalato un, credo, suo articolo dove si parla di exploit di WP 2.5, in sintesi uno permetterebbe la creazione di utenti da parte di utenti che non hanno il permesso per farlo, il secondo una molto più grave possibilità di SQL injection tramite il modulo per i commenti. La prima lettura effettivamente da l’idea di una cosa molto grave, sopratutto la seconda… ma… vediamole singolarmente.

Il primo problema riguarda il fatto che la possibilità di creare un nuovo utente viene verificata controllando se l’utente ha la capacita di “edit_users” invece di quella corretta di “create_users”. Non è un serio problema perchè solo utenti di un certo livello hanno questa capacità, un utente normale ha una sola capacità che è quella di leggere il blog e modificare i propri utenti, gli altri livelli sono solitamente assegnati dall’amministratore il quale dovrebbe autorizzare vari livelli di interazione col proprio blog solo ad utenti minimamente affidabili. Esiste già una patch per la 2.5.1 e l’autore dell’articolo fornisce i file modificati per la 2.5 aggiornarli non fa male ma davvero si corrono rischi minimali. Infatti a differenza di altre volte non abbiamo previsto file di aggiornamento proprio per la bassa rischiosità del tutto, anche se l’autore dell’articolo tiene a sottolineare come a questa cosa sia assegnato il livello critical, cosa normale per la tipologia di problema ma che ripeto richiede ad esempio di dover essere utenti registrati, in blog come il nostro ad esempio il problema non sussiste non avendo la registrazione utenti e per chi avesse invece la registrazione utenti per ad esempio l’invio di newsletter questi utenti spero abbiano il livello minimo (oltre non servirebbe) e quindi non possono sfruttare il problema.

Il discorso SQL injection è diverso, la segnalazione è ridicolmente inutile, non fornisce nessuna informazione, nei giorni scorsi sulle ML tecniche non se ne è avuta notizia mentre l’altro ieri Matt ha commentato la cosa sul suo blog evidenziando appunto la “povertà” della segnalazione e fornisce un esempio di segnalazione ben fatta e utile. Anche una mia richiesta diretta sulle ML di WP ha avuto come risposta che non vi sono evidenze che il codice abbia problemi e non vi sono evidenze di blog che abbiano subito attacchi a causa di questa . La segnalazione su security focus è del 6 aprile in altri casi segnalazioni di problemi seri come quello paventato in questo caso hanno avuto risposte rapidissime, mentre al momento la 2.5.1 non è stata immediatamente rilasciata con la patch al problema (che non esiste, il problema non la patch) come appunto già accaduto con altre versioni.

Nell’articolo che ci è stato segnalato invece si conclude con una bella chiosa nel tipico stile giornalistico catastrofico/accusatorio ipotizzando un complotto con frasi del tipo: “Ovviamente tutto questo pone anche una domanda agli utilizzatori di WordPress 2.5: perchè il team WordPress attende per il rilascio della patch? La mia ipotesi è che non voglia creare allarmismi oppure farsi una brutta “fama”.” mentre la politica degli sviluppatori di WP è sempre stata l’esatto contrario, cioè quello di una rapida risposta a veri e seri problemi di sicurezza. Insomma, un gridare al lupo al lupo quando invece era solo un cucciolotto ed in un caso solo una frasca mossa dal vento. Considerando che letto, l’articolo in questione, ho avuto info sulle ML tecniche nell’arco di due ore e una rapida ricerca mi ha portato al post di Matt oltre al fatto che il report su security focus se analizzato con calma ne evidenziava la povertà mancando un esempio, info dettagliate etc. sarebbe opportuno non gridare subito al lupo al lupo ma prima informarsi un po’ di più e non scrivere scrivere articoli sensazionalistici.