Tři pluginy Wordpressu obsahovaly backdoor

V rozšířeních Wordpressu AddThis, WPtouch a W3 Total byl objeven backdoor, jehož autory nebyli vývojáři daných rozšíření. Správci wordpress.org tedy zresetovali přístupová hesla k serveru a zablokovali úložiště s rozšířeními. Do nich byly později provizorně nakopírovány starší verze jednotlivých rozšíření.

22.6.2011 17:33 | Migi | Bezpečnostní upozornění

Komentáře

[bhy]

hm.. jakožto bezpečnostní laik bych se rád zeptal, jak se to mohlo stát? čím to bylo způsobeno a čím se proti tomu bránit do budoucna?

[Migi]

pravděpodobně se někdo nepovolaný dostal k heslům vývojařů těchto rozšíření a .....

Obrana? Kromě antivirů asi nulová. Za bezpecnost doplnků by měli ručit správci a vývojaři wordpressu, jenze jaksi to nezvládají.

[Filip Jirsák]

Antivir taky nijak nepomůže. Těžko může poznat neznámý backdoor ve zdrojáku. Pokud by to někdo uměl za rozumné náklady a s rozumnou spolehlivostí, nebyl by problém kontrolovat takhle každý příspěvek kódu.

[Zopper]

Antivir na stroji vývojáře, na kterém má vývojář uložené heslo k účtu by samozřejmě pomoci měl. Nejčastějším důvodem nakažení regulárních webů je právě virus, který ovládne PC, kde je uložené heslo na FTP či nějakou službu (nebo se povede nainstalovat keylogger).

[Filip Jirsák]

Na straně vývojáře možné. I když já dávám přednost tomu viry do počítače vůbec neinstalovat

[Zopper]

Já sice taky, ale spousta lidí, zvláště těch, kteří mají doma hodně oken, jsou jacísi zoologové-amatéři se sbírkou rozličných drobných zvířátek

[sidik]

Antivir na stroji vývojáře, na kterém má vývojář uložené heslo k účtu moc nepomůže. Kromě toho, že může pracovat na Linuxu, tak stačí aby někdo dotyčnému commitnul backdoor do repa a autor si commity nekontroloval. Pak je pošle nahoru a na průser je zaděláno. Ani není třeba aby původce backdooru měl přístup ke stroji autora pluginu.

Stačí si pak počíhat na WP web, který plugin používá a zaťukat na zadní vrátka ;)

[Conscript89]

Co je to "regularni web"?

[Voty]

Přece takový, který je ekvivalentní konečnému automatu :)

[Migi]

no pokud je neznámý pak ano, i antivir je k ničemu. Ten samozřejmě ma vliv až když ma dany backdoor ci jine svinstvo ve svych definicich.

[Luboš Doležel (Doli)]

Proč je vlastně v souvislosti s Wordpressem pořád jen slyšet o bezpečnostních problémech?

[Jan]

Protože má tak velké zastoupení na poli blogů a dalších stránek. Stejně jako třeba problémy fóra phpBB (nevím jak je na tom teď).

[pht]

Protože autoři takovýchto programů myslí na bezpečnost až na konci, pokud vůbec. Ostatně Drupal na tom není o moc lépe.

Začněte programovacím jazykem, který má v tomto ohledu příšernou historii, pokračujte jednotným účtem do databáze, nulovým zabezpečením web serveru proti tomu co na něm běží, žádnou separací pluginů od sebe a od "jádra" systému, a zakončete to faktem, že každej kdo má do pr. díru takový plugin může napsat a zveřejnit...

[sidik]

Děravou aplikaci lze napsat v čemkoliv. Od PHP, přes Ruby, až po Javu nebo C#. Se zabezpečením serverů jde těžko něco dělat, když nemáte vlastní. Jinak pravda pravdoucí. Nicméně s těmi pluginy, to je případ jakéhokoliv otevřeného systému - pluginy si prostě může napsat kdokoliv.

[pht]

Ono lze obecně cokoliv v čemkoliv, ale některé nástroje jsou pro určité úkoly vhodnější a jiné méně vhodné. Řekl bych že PHP patří k těm méně vhodným.

[pavlix]

Ono lze obecně cokoliv v čemkoliv, ale některé nástroje jsou pro určité úkoly vhodnější a jiné méně vhodné. Řekl bych že PHP patří k těm méně vhodným.

Oceňuju tvůj skrytý vtip :) spočívající v tom, že jsi nenapsal po které úkoly patří PHP k těm méně vhodným.

[l4m4]

Vtip je na mě asi příliš intelektuální, protože mi to vyznívá, jako že PHP není vhodné pro psaní děravých aplikací; přitom chcete-li napsat děravou aplikaci, PHP nabízí nepřeberné možnosti.

[pht]

To je trochu překombinovaná úvaha. Bavíme se o Wordpressu takže naráža byla na vhodnost vzhledem k WP. Při troše štěstí se to dá zobecnit a říct že PHP není vhodné pro psaní jakékoliv vážně myšlené webové aplikace.

[Johny]

O tom zadna, ale treba MySQL injection ma v ASPcku sirsi moznosti (v php je pro jeden mysql_query povoleno odeslat databazi jen jeden dotaz... V ASP jich muzete poslat vic)

[Petr Ježek]

O Joomle se nehovoří, diskuse zahlcené čínskými spammery mají sice řešení, ale správci na to nemívají čas... S WordPressem to bude podobné, každý správce je rád, že "to fachá" a že hity utěšeně rostou... O sociálních sitích ani nemluvě...