¿Aún no has actualizado WordPress?

¿Todavía estás usando alguna versión atrasada de WordPress? No te sorprendas si tu blog resulta con spam links en alguno de los posts, gracias a una reciente ola de ataques a blogs con versiones de WordPress vulnerables.

Recientemente he visto ya varios blogs que han sido victimas de estos ataques, algunos modifican la plantilla que este usando el blog; otros insertan link en un post viejo, tal como le paso a Domain Name News en uno de sus post:

Domain Name News - Spam en el post
(clic para agrandar)

Si van al post no verán los links porque están en un div que los saca de la vista (curiosamente en google reader si se ven) pero que los buscadores si los verán:

<div style="position:absolute; 
    left:-1019px; 
    top:-1390px;">

Si aún no han actualizado sus blogs, a WordPress 2.3.3 o 2.5 será hora de hacerlo antes de que sean los siguientes. Tip: revisen sus blogs via google reader, retrocediendo en los post en la busca de dichos spam links.

PD: Envie un mensaje a Domian Name News, pero parece que no hicieron caso…

Etiquetas: spammers, wordpress, seguridad, vulnerabilidades

Servidores de Ubuntu comprometidos

En Slashdot han publicado la noticia de que varios servidores de Ubuntu, mantenidos por LoCos por patrocinados por Canonical, han sido comprometidos.

Entre los problemas que permitieron que estos servidores fueran comprometidos, señalan:

  • Mala administración de parte de los miembros del LoCo, al no aplicar parches de seguridad
  • Uso de FTP en lugar de SFTP
  • Exceso de uso de aplicaciones web, todas en versiones atrasas e inseguras.

La parte curiosa, es que varios parches de seguridad en el Kernel no pudieron ser aplicados por problemas con el hardware, del cual parte fue donado por Canonical. Las soluciones que Canonical presenta a los LoCo son:

  • Mover los servidores al Centro de Datos de Canonical, para tener soporte completo del equipo de Canonical pero con muchas más limitaciones.
  • Quedarse en un hosting externo, sin soporte de Canonical y con mucha mayor responsabilidad.

Este es un revés para Canonical que quiere incursionar el en mundo de los Servidores, ahora les lloverán críticas en especial de los de Debian que no aceptan a Ubuntu jeje. Ahh el trabajo diario de los sysadmins 😉

Etiquetas de búsqueda: , , , , ,

Exploit en WordPress 2.1.3: Inyección SQL

Via la lista de correo wp-hackers, me entero de un nuevo exploit publicado en PacketStrom Security para el constantemente vulnerable WordPress. No hay muchos detalles técnicos de que hace el exploit, pero por lo que vi es una inyección SQL a través de wp-admin/admin-ajax.php para obtener el hash de la clave de los usuarios en wordpress.

A pesar de que las claves de los usuarios wordpress está ofuscadas (salted) no será mayor barrera descifrar la clave teniendo MD5 Hash. En teoría la única versión afectada es WordPress 2.1.3.

Hay un script publicado del exploit lo que facilita por mucho el trabajo de los script kiddies. Será mejor actualizarse a WordPress 2.2 por is las moscas.

Etiquetas: , , , , ,

WordPress 2.1.3 y 2.0.10

Luego de un mes después de que WordPress sufriera un crackeo y lanzaran una nueva versión de emergencia; hoy llega una nueva versión con bastantes bugs reparados, problemas con XSS y XML-RPC, además de medidas contra futuros problemas. Altamente recomendable que te actualices si tu blog/sitio tiene bastantes enemigos jejeje.

La verdad se tardaron un poco en lanzarla porque los RCs estuvieron listos desde hace muchos días atrás, probablemente el retraso se deba a que tomaron medidas más drásticas contra los hackeos al sitio y un bug de ultima hora. En fin, otro release más, por si quieren aprovechar la baja de tráfico por las vacaciones. Es una suerte que almenos mi blog no lo tenga que actualizar cada mes 😉

Descargar >> WordPress 2.1.3 o bien 2.0.10.

Actualización: Les recuerdo que para fin de mes tenemos la actualización hacia WordPress 2.2. Cuando dijeron desarrollo rápido, no creí que incluyera tantas actualizaciones por mes :S

Etiquetas: , , ,

Increible: WordPress 2.1.1 Crackeado! y WordPress 2.1.2 Liberado

Que joden!!! apenas hace 10 días atrás que WordPress 2.1.1 fue liberado y para colmo de males, ya hay nueva versión de WordPress, la 2.1.2. Resulta que un cracker obtuvo acceso a uno de los servidores de wordpress.org y logro modificar el archivo de descarga de wordpress 2.1.1 agregándole código malicioso al mismo.

Si alguien actualizo su blog hacia 2.1.1 hace 3 o 4 días (tiempo en que el cracker hizo su travesura) corre riesgo seguro de estar infectado; es más la gente de WordPress a dado de baja 2.1.1 sin Betas ni RCs y la actualización hacia 2.1.2 es urgente. Para curarse de males, han reiniciado todas las contraseñas del SVN y otros accesos, hasta en los foros de soporte!. Ya me extrañaba a mi que los foros estubiera abajo hoy.

Una cosa es que saquen actualizaciones de seguridad y otra es que a cada dos semanas tengamos que borrar todos los archivos del blog para asegurarnos de que no hay riesgos. Algo anda mal, a alguién hay que cortarle la cabeza… condenados!. Por fortuna los blogs más importantes que manejo esta actualizados desde hace mucho en 2.1.1. Muchos me han dicho que mude mi blog a un servidor propio… pero hoy tengo un buen motivo para seguir aquí XD .

Por cierto los blogs con WordPress 2.0.x no tiene pena, el crackeo solo afecta a 2.1.1

Descargar ya WordPress 2.1.2.

Etiquetas de búsqueda: , , , , , ,

Worpdress 2.1.1 y 2.0.9 liberados

Las nuevas entregas de WordPress ya son oficiales y estables, nada de RCs y Betas. WordPress 2.1.1 incluye al menos 30 correcciones de errores y el parche contra el fallo XSS descubierto días atrás.

Otra versión más y la verdad ya estoy considerando engancharme al SVN de WordPress, empezar a picar piedra con WordPress 2.2 pero con actualizaciónes automáticas :D. En fin, a descargar se ha dicho.

Actualización: Mark

Etiquetas de búsqueda: , , , , , , ,

WordPress 2.0.9 y 2.1.1, a la vuelta de la esquina

Hace poco menos de 15 días que liberaron WordPress 2.0.8 (que nunca lo anunciaron!) y ya estan con miras a sacar WordPress 2.0.9 y 2.1.1; debido a un problema de XSS (en securityfocus) descubierto días a atrás en wp-admin/templates.php. Este fallo podría afectar especialmente aquellos que guarden las cookies entre sesiones (Remeber me) y que tengan privilegios de administrador.

Por si no quieren esperar a que liberen las versiones finales con esta y otras correcciones, o bien bajan alguna de las beta o aplican el gran parche de 2 lineas de código 😉

Descargas >> WordPress 2.0.9 RC1 (tar.gz) Beta y WordPress 2.1.1 RC1 (tar.gz)

Actualización: Los respectivos RC1 ya están disponibles, sumado a algunos cambios para ambos.

Etiquetas de búsqueda: wordpress 2.0.9, wordpress 2.1.1, parches, vulnerabilidades

Nuevo WordPress 2.0.7

Recién acaban de lanzar WordPress 2.0.6 y ya tenemos una nueva version (la 2.0.7) que corrigue algunos problemas como el bug con Feedburner, unos problemas de seguridad con ciertas versiones de PHP y register_globals activado (WTF!!). Si ya habían hecho la actualización hacia 2.0.6, pueden evitar todo el largo proceso de actualización con tan solo actualizar estos archivos:

  • wp-admin/inline-uploading.php
  • wp-admin/post.php
  • wp-includes/classes.php
  • wp-includes/functions.php
  • wp-settings.php
  • wp-includes/version.php

Marki Jaquith ha publicado un .zip que contiene solo los arhicvos modificados entre ambas versiones. No esta demás decir que siempre hay que hacer un backup de todo (db y arhivos) por si las moscas 😉

puufffff vaya principio de año este, he visto salir mas versiones de WordPress y el plugin WP-Cache que lunas en el cielo!!

PD: Es una ventaja estar aquí en wordpress.com, ellos hacen esas actualizaciones por tí :P, que de hecho uso WordPress 2.1 Beta jejeje

Etiquetas de búsqueda: wordpress, wordpress 2.0.6, wordpress 2.0.7, vulnerabilidades, actualizaciones, releases

Ejemplos de Inyeccion SQL

Desde el boom de las paginas dinamicas con PHP o ASP, las bases de datos son accesibles de una u otra forma desde el Internet. Como siempre los chicos malos andan viendo komo obtener provecho de a informacion ke nosotros hemos puesto en linea, y uno de sus armas predilectas es la Inyeccion SQL. Segun Wikipedia, la Inyeccion SQL consisten en:

Vulnerabilidad informática en el nivel de base de datos de una aplicación. El origen es el filtrado incorrecto de las variables utilizadas en las partes del programa con código SQL. Es, de hecho, un error de una clase más general de vulnerabilidades que puede ocurrir en cualquier lenguaje de programación o de script que esté incrustado dentro de otro.

Una inyección SQL sucede cuando se inserta o “inyecta” un código SQL “invasor” dentro de otro código SQL para alterar su funcionamiento normal, y hacer que se ejecute maliciosamente el código “invasor” en la base de datos.

Existen diversas formas de Inyeccion SQL, pero el mayor problema se debe a el mal procesamiento de las comillas dobles (“) y simples (‘). En un articulo publicado en unixwiz.net ilustra algunos de estos ejemplos, explica el problema y brinda algunas soluciones para el atake. Tambien en wikipedia hay enlaces a otros articulos con explicaciones y soluciones a la Inyeccion SQL. En lo personal cuando desarrollo en PHP y VB, solo me preocupaba por las comillas, pero acabo de toparme con algunos problemillas con los parametros numericos de las consultas…

Existen muchas paginas tratando este tipo de atakes, pero les recomiendo las paginas en ingles porke tienen mas variedad y las soluciones cubren mas lenguajes de programacion, todo es cuestion de ke le pregunten a Google. A proteger la DB se a dicho pues!