Ya creo que después de esta entrada voy a empezar seriamente en hacerle su propia subcategoría a este tema…
Como anuncie hace mucho pero mucho tiempo, la popularidad que WordPress esta obteniendo en este año 2007 a traído no solo una gran cantidad de nuevas personas apoyando al proyecto, si no que ya atrajo la vista de todos los usuarios que le ponen la mirada “maliciosa” (como yo le digo) osea la gente que se sentara a buscar vulnerabilidades a diestra y siniestra.
Por un lado es bueno por que así cada día tenemos un WordPress mas seguro y por el otro lado de la moneda no me gusta que estos se encuentren sacando vulnerabilidades al publico que no tienen un parche (o al menos una solución proveniente de ellos) , esto obvio que compromete a miles de millones de blogs, un tema que para mi es serio, ya que no estamos tratando con un simple juguete que puedes romper y decir mira lo rompí, si no que se puede generar daño al mismo tiempo, recordemos que hoy en día hay blogs que generan dinero y causarles daño es una perdida monetaria que puede ir directo al cierre total o parcial de uno de estos, yo se que a nadie le interesa y todos quieren sus famosos 5-minutos de fama acuesta de como sea, sea cual sea la justificación que estos den para mi es solo una inmadurez hacer esto, para mi esa seria la ultima instancia otorgada, el ultimo peldaño, el ultimo recurso a utilizar, se que cuesta mucho trabajo esperar y seguir los tiempos pero para mi es la mejor forma de proceder ante este tipo de casos.
En fin después de una breve reflexión/regaño/molestia/opinión ahora si vamos con los bugs…
Hace 2 dias salieron a la luz publica 5 bugs, ayer se dio a conocer 2 mas, todos de bajo riesgo aunque el autor diga lo contrario y trate de meter un poco de miedo o desesperacion (desde mi mero punto de vista personal), pero si estas vulnerabilidades podrán ser de bajo riesgo pero si tienen un alto impacto si es que logran ser ejecutados, 4 de ellas son XSS/XSRF, 1 de SQL Injection y 2 de information disclosure.
No hablare/profundizare mucho sobre ellas por que aparte de que son muy fáciles de entender alex concha ya lo ha hecho y pues volver a escribir lo escrito es algo tonto, también la pagina del autor lo dice muy explicito pero si solo se los recomiendo a los que sepan ingles y de paso les aconsejo que no tomen tan enserio las clasificaciones del autor, para mi como dije son algo amarillistas, desde mi mero punto de vista todas son “Low” o como secunia las clasifica “Less Critical”.
También como siempre les incluyo los archivos pre-parcheados (junto con el archivo de diferencias) para que puedan resolver esta vulnerabilidad, pueden bajarlo dando clic aquí, cabe recordarles que oficialmente (hasta el momento) WordPress ya reparo 5 de los 7 bugs, le falto 1 de XSS y otro de information disclosure de menor o escaso rango, de los cuales ya he dejado en cada ticket su solución correspondiente (basada en la oficial que se encuentra en el /trunk) mis soluciones ya están incluidas junto con las oficiales en el archivo que bajaron de aquí, así que como -nuevamente- recordatorio estos son temporales aun “no-oficiales” y todavía se esta esperando si aceptan o no estos cambios, en dado caso de que pase lo que pase tengan en cuenta que les avisare por esta misma entrada como van los parches…
Actualización al 02/08/2007
Ya se han aprobado los parches así que también ahora son oficiales; todos los que hayan usado mis parches considérense oficiales y para los que no los alcanzaron les dejo los links para bajar ya con todos los parches oficiales (los que saldrán en la 2.2)…
Archivos Pre Parcheados
Archivo de Diferencias (en formato diff)
