Vite Digitali

Post veloce giusto per avvisarvi che sono usciti i Security Advisory su Secunia relativamente ai bug nei temi Unnamed e Blue Memories.
Li trovate ai seguenti indirizzi:

1) Blue Memories
2) Unnamed

Dopo qualche giorno di pausa si torna a scrivere sul blog (già sento i vostri applausi e le urla di gioia), presentandovi un fatto curioso che potete sperimentare anche voi.
Molti di voi (Paso di sicuro) già sapranno che HTTP è il protocollo usato dai nostri computer per dialogare con i server che ci forniscono le pagine html che vogliamo visualizzare. Per esempio ogni volta che apriamo una pagina web, in realtà contattiamo un server ed eseguiamo il comando GET per ottenere la pagina html richiesta. Oltre ad effettuare particolari comandi, tra la nostra macchina (client) ed il server vengono trasmessi anche gli HTTP Header che servono a contenere meta-informazioni sui file trasferiti.
Adesso arriviamo al punto: se provate a leggere gli HTTP Header trasmessi quando aprite una pagina di Wordpress, vi troverete davanti a questa scritta (questo è un HTTP Header del blog di Paso):

HTTP/1.0 200 OK
X-hacker: If you're reading this, you should visit automattic.com/jobs and apply to join the fun, mention this header.
X-Pingback: http://paso.wordpress.com/xmlrpc.php
Content-Type: text/html; charset=UTF-8
Server: LiteSpeed
Date: Tue, 24 Jul 2007 06:33:48 GMT
Connection: close

X-hacker: se stai leggendo questo, dovresti visitare automattic.com/jobs e far domanda per unirti a noi, menziona questo header. (traduzione alla buona)
In pratica l'azienda Automattic (che sta alle spalle di Wordpress) ha inserito questo messaggio di reclutamento all'interno degli HTTP Header ed ogni volta che entriamo in un blog di Wordpress viene inglobato anche questo messaggio. Non so se sia un messaggio serio o solo una burla (come gli Easter Egg che si possono trovare nei programmi).

Se volete provare anche voi, vi consiglio 2 metodi:
1) andate su www.network-tools.com, nella barra inserite l'indirizzo di un blog Wordpress e spuntate la casella HTTP Headers, cliccate su Submit e vedrete il messaggio
2) scaricate l'estensione "Live HTTP headers" per Firefox da questo sito. Entrate in Firefox, cliccate su Strumenti, Live HTTP Headers e spuntate la casella Capture. Mentre navigherete, verranno "catturati" tutti gli HTTP Header che vorrete...

Ora non so se dopo questo articolo, qualcuno di voi invierà il proprio CV alla Automattic... però se vi prendono a lavorare con loro fatemelo sapere :-)

Il titolo prende spunto dal commento di Bl@ster relativo al precedente articolo in cui mi diceva che dopo aver scoperto la vulnerabilità nel tema di Wordpress e dopo aver avvisato lo staff avevo terminato il mio lavoro. Però io ho voluto fare ancora qualcosina...
Sono andato sul sito di Secunia che pubblica avvisi di sicurezza (Security Advisory) relativi a vulnerabilità scoperte dal loro team di ricercatori o da qualsiasi altra persona, ed ho deciso di inviare una mail per avvisarli del bug presente nel tema Blix di Wordpress.
La mia segnalazione è stata approvata dal team di Secunia e... poco fa è uscito il mio primo Security Advisory!!! In realtà sono 3 avvisi di sicurezza:

1) WordPress Blixed Theme "s" Cross-Site Scripting
2) WordPress BlixKrieg Theme "s" Cross-Site Scripting
3) WordPress Blix Theme "s" Cross-Site Scripting

Ora il mio lavoro è finito...

Questa storia ha qualcosa di incredibile...
Qualche giorno fa per puro caso ho scoperto che il tema Blix di Wordpress presenta una vulnerabilità di tipo XSS (cross-site scripting) che può essere sfruttata tramite la barra delle ricerche presente nella parte superiore del tema. Se, infatti, inseriamo uno script (per esempio scritto in javascript) nella barra delle ricerche, tale script verrà eseguito nella macchina utente senza essere filtrato. Tale vulnerabilità permette di eseguire qualsiasi codice immesso nella barra delle ricerche e, quindi, permette svariate tipologie di attacco: phishing, cookie grabbing (rubare i cookie dalla macchina che accede al blog con tema Blix), visualizzazione di contenuti testuali e multimediali temporanei nella pagina del blog, ridirezionamento verso un' altra pagina, ecc...
Dopo aver osservato che praticamente tutti i blog con indirizzo http://xxx.wordpress.com che utilizzavano il tema Blix erano buggati, ho avvisato lo staff di Wordpress e dopo qualche giorno di verifica sapete cosa hanno detto? "The theme we use is fine, no cause for concern." Il tema che noi usiamo è OK, non c'è motivo di preoccuparsi. Dopo aver letto questa loro risposta, ho visitato gli stessi blog che qualche giorno prima avevano il bug... ma ora il bug era improvvisamente scomparso! Personalmente credo che lo staff di Wordpress abbia modificato il codice del tema Blix presente sui loro server, senza creare scalpore e senza ammettere che non avevano controllato a dovere il codice prima di renderlo disponibile ai loro utenti. Ricordiamoci che Wordpress ha delle regole molte rigide riguardo l'esecuzione di codice nei blog e sicuramente avere un tema buggato che permetteva l'esecuzione di qualsiasi codice sui computer degli utenti non li ha resi molto felici...

Il tema Blix originale è buggato ed ho le prove (registrazioni video) che ci sono blog non hostati sui server di Wordpress che sono vulnerabili a tale attacco!

Tecnicamente la vulnerabilità è dovuta alla seguente riga di codice presente nel file search.php del tema Blix (scaricabile qui):


Tale articolo è stato scritto con l' unico scopo di avvisare chiunque utilizzasse il tema originale Blix della presenza di una vulnerabilità nel codice del tema. Se il vostro blog è hostato sui server Wordpress è ormai al sicuro dal bug, se invece siete hostati su server esterni ed avete scaricato il tema Blix dal sito del creatore, potete essere vulnerabili. Chiunque faccia stupidate utilizzando le informazioni contenute in questo articolo, sarà l' unico responsabile per i danni che potrà arrecare.

Ho già inviato un messaggio a Sebatian Schmieg, creatore del tema, per informarlo del bug ed ho aperto anche una discussione sul forum ufficiale di Wordpress dove mi è stato risposto che il tema che usano è fine.
Sincermente, dopo questa faccenda (che non è ancora chiusa) mi sento ancor più fiero di aver scelto la piattaforma Blogger che oggi reputo senza dubbio più seria e sicura...