Slo-Tech - Približno tretjina vseh spletnih strani poganja WordPress, ki je s tem tudi daleč najpopularnejši sistem za urejanje vsebine (CMS). WordPress je doslej prilezel že do verzije 5.2, aktivno pa so vzdrževane vse verzije od vključno 4.7. Toda na internetu še vedno mrgoli starejših verzij, ki niso le nepodprte, temveč tudi polne že zdavnaj odpravljenih hroščev in zakrpanih ranljivosti. Zato razvijalca WordPressa snujejo načrt, kako bodo v prihodnosti vse stare verzije oddaljeno posodobili.

Ker gre pri takšni veliki nadgradnji milijonov strani lahko marsikaj narobe, se bodo projekta lotili korakoma. Sprva bodo dva odstotka vseh namestitev WordPressa 3.7 nadgradili na 3.8. Teden dni pozneje bodo nadgradili še 18 odstotkov namestitev, še teden dni kasneje pa še preostanek. Nato bodo celoten...

Slo-Tech - Več kot 2,6 TB dokumentov o sumljivih poslih strank panamske odvetniške pisarne Mossack Fonseca, ki jih je nemškemu Süddeutsche Zeitungu posredoval neimenovani vir, naj bi po zatrjevanju odvetniške pisarne razgalil hekerski vdor in ne klasičen žvižgač. Ali to drži ali ne, je težko soditi, dejstvo pa je, da so imeli katastrofalno zavarovan informacijski sistem. Že bežen pogled razkriva, da je njihova programska oprema obstala v preteklosti.

Na njihovem strežniku teče verzija WordPressa izpred poldrugega leta (WordPress 4.1), če sodimo po verziji datoteke autosave.js. Za dostop do elektronske pošte so uporabljali Microsoftov Outlook Web Access iz leta 2009, portal za stranke pa poganja Drupal 7.23 iz leta 2013. To je tista...

Slo-Tech - V Linuxovi knjižnici glibc so odkrili resno ranljivost, ki se je je prijelo ime GHOST (zaradi funkcije GetHOST) in napadalcu omogoča prevzem nadzora nad sistemom. Problematične so funkcije gethostbyname*() (ki kličejo __nss_hostname_digits_dots(), ki je občutljiva na prekoračitev predpomnilnika) v glibc (GNU C Library) v verzijah 2.17 in starejših. Že maja 2013 je sicer izšla verzija 2.18, ki ranljivosti ni več vsebovala, a je tedaj niso prepoznali in označili kot ranljivosti, zato vsi niso izvedli nadgradnje. Qualys so bili prvi, ki so ranljivost tudi identificirali. Prizadeta programska oprema med drugim vključuje clockdiff, procmail, pppd in Exim.

V podjetju Sucuri pa so ugotovili, da so potencialno ranljive vse v PHP napisane aplikacije, ki uporabljajo problematično funkcijo (recimo WordPress), kar bistveno razširi možnosti zlorab, saj je ranljivost mogoče zlorabljati...

Slo-Tech - V četrtek, 22. 5. ob 19.00, vas vabimo v Kiberpipo na že tretji WordPress meetup Ljubljana.
Če ste WP razvijalci, blogerji ali zgolj navdušenci nad WordPressom in bi se radi družili s sebi podobnimi, boste na pravem mestu.

Čakajo vas zanimiva predavanja:

- Martin Žibert: FittipaldiPress, od oPcache-a do statičnih HTML-jev in najprej do HipHop-a;
- David Klasinc: Zakaj so profesionalne WordPress teme sranje;
- Marko Zabreznik: WordPress v slovenščini;
- Jure Čuhalev: O WordPress vitčniku "Advanced Custom Fields".

... in s sponzorji podprta runda piva.

Še mikrolokacija, da ne bo izgovorov: Kiberpipa (pasaža kavarne Evropa, pri Knjižnici Otona Župančiča) v Ljubljani.
Več info & RSVP na www.meetup.com.

Se vidimo.

Ars Technica - Koordinirani napadi DDoS na spletne strani lahko uporabljajo različne vektorje za ojačitev, recimo strežnike za sinhronizacijo ure NTP, sistem DNS-strežnikov ali pa strani na WordPressu. Raziskovalci opisujejo, kako so napadalci uporabili 162.000 legitimnih strani na WordPressu za DDoS na neko stran.

Izkoristiti je mogoče strani, ki imajo vključen pingback, kar je privzeta nastavitev ob namestitvi WordPressa. V tem primeru je mogoče uporabiti protokol XML-RPC za pingback, trackback, oddaljen dostop in druge vrste nadzora. To se je zgodilo neimenovani strani, ki so jo...

Krebs On Security - Na internetu te dni poteka obsežen napad na vse namestitve WordPressa na različnih strežnikih, v katerem napadalci poizkušajo pridobiti dostop do strežnikov prek WordPressa. Ciljajo s približno 90.000 IP-naslovov, napadajo pa tri- do petkrat več strežnikov kot običajno (vsak dan se seveda kdo poizkusi nepooblaščeno kam povezati, sedaj pa je teh napadov več kot 100.000 dnevno). Zanimivo je, da napadalci uporabljajo sorazmerno primitivno tehniko, saj s surovo silo (brute force) poizkušajo uganiti skrbniško uporabniško ime in geslo, za kar uporabljajo sezname najbolj pogostih.

Zaščita pred napadom je zelo enostavna, saj napadalci preverjajo le najpogostejša uporabniška imena in gesla. Kdor si uporabniško...