Au trecut câteva ore de când anunţul oficial a fost făcut, blogurile de specialitate şi nu doar ele au scris în termeni mai mult sau mai puţin concreţi pentru a-şi informa vizitatorii, sau doar pentru a câştiga o nouă pagină indexată de rapid de Go(d)ogle All Mighty, alternând articolele cu aromă de ştire, cu cele în care miasma de spam este imposibil de ascuns. Permiteţi-mi însă să mă ghidez după o altă filozofie (nu ştiu dacă este mai bună sau mai rea, dar clar este diferită) în sensul că atunci când programul nu-mi permite să prezint o ştire [...]]]> WordPress a lansat o nouă actualizare de securitate de importanţă medie şi toţi utilizatorii care folosesc versiunea 3.0.4 (sau una anterioară acesteia) sunt îndemnaţi să instaleze WordPress 3.0.5.

Au trecut câteva ore de când anunţul oficial a fost făcut, blogurile de specialitate şi nu doar ele au scris în termeni mai mult sau mai puţin concreţi pentru a-şi informa vizitatorii, sau doar pentru a câştiga o nouă pagină indexată de rapid de Go(d)ogle All Mighty, alternând articolele cu aromă de ştire, cu cele în care miasma de spam este imposibil de ascuns. Permiteţi-mi însă să mă ghidez după o altă filozofie (nu ştiu dacă este mai bună sau mai rea, dar clar este diferită) în sensul că atunci când programul nu-mi permite să prezint o ştire în primele minute sau importanţa evenimentului nu clamează un articol scris la foc rapid, să-mi acord un răgaz de 24 de ore pentru a furniza informaţii suplimentare. Dealtfel, cu mai bine de un an în urmă vă spuneam nu suntem într-o întrecere câmpenească în care miza este dată de cine se dovedeşte mai prietenos cu motoarele de căutare, iar blogurile de profil ar trebui să ofere o viziune complementară site-urilor de ştiri.

Spre deosebire de WordPress 3.0.4, actualizare de securitate catalogată de către proprii dezvoltatori ca fiind importantă (Important Security Update), WordPress 3.05 este un update menit să întărească doar securitatea platformei (Security Hardening Uupdate). Sesizaţi diferenţa ? Vă mai dau un indiciu. Pe 29 decembrie 2010, însuşi Matt Mullenweg era cel care prezenta ultima versiune (şi îndemna la o actualizare grabnică), în timp ce astăzi, articolul publicat pe blogul WordPress apare sub semnătura mult mai puţin cunoscutului Andrew Nacin. Sigur, orice actualizare WordPress este importantă, doar că unele sunt mai importante decât altele. Nu toate actualizările sunt „egale”.

Astăzi am să vorbesc despre WordPress 3.0.5 şi ce aduce el nou, prezentând în plus capcanele ce trebuie evitate dacă optaţi pentru instalarea versiunii originale (în engleză) pe un blog în limba română. Îmi pare rău pentru proiectul WordPress localizat, însă atâta vreme cât se vor încăpăţâna să folosească în locul englezismelor consacrate şi acceptate de majoritatea utilizatorilor traduceri improvizate (de genul crunching –> ronţăială), mă văd nevoit să recurg la o traducere personalizată (aţi fi vrut să spun „customizată” ? Mai bine nu), disponibilă încă din perioada WordPress-ului 2.8.4, iar orice actualizare comportă riscul ca traducerea să fie suprascrisă.

(...)
Citeşte integral articolul WordPress 3.0.5, actualizare de securitate (410 cuvinte)

Copyright © Stefa Media. Comunicare şi Relaţii Publice, 2011. | Permalink | 7 comentarii
Articol din categoria: Vulnerabilităţi

Ocazional însă (poate chiar mai rar decât mi-aş dori) se impune să scriu despre WordPress, mai ales cu prilejul unor actualizări neaşteptate, dictate de realiate. O astfel de actualizare este şi WordPress 3.0.4, venită ca urmare a confirmării unei vulnerabilităţi de tip [...]]]> Deşi există o categorie dedicată acestui CMS fantastic, „răspunzător” pentru blogul Stefa Media şi pentru faptul că ne auzim de aproape trei ani, articolele care tratează subiectul WordPress au fost extrem de rare în ultima perioadă. În alte vremuri îmi plăcea să experimentez, să testez plugin-uri sau script-uri, încercând să găsesc cele mai eficiente soluţii (o sarcină deloc uşoară când nu eşti programator sau web designer „de meserie”), dar am renunţat treptat în favoarea recomandărilor făcute de profesioniştii în domeniu şi a site-urilor dedicate.

Ocazional însă (poate chiar mai rar decât mi-aş dori) se impune să scriu despre WordPress, mai ales cu prilejul unor actualizări neaşteptate, dictate de realiate. O astfel de actualizare este şi WordPress 3.0.4, venită ca urmare a confirmării unei vulnerabilităţi de tip XSS (Cross-site scripting) în biblioteca KSES.

Pentru cei care nu ştiu, KSES reprezintă acronimele pentru „Kses Strips Evil Scripts” şi este, în mare, un mecanism de filtrare HTML. KSES parcurge codul HTML (indiferent de cât de puţin corectă ar fi sintaxa), filtrează pasajele inutile sau periculoase şi păstrează doar ce este esenţial, protejând astfel site-ul de atacuri în care s-ar folosi fragmente de cod compromis.

N-am să intru în detalii (specialiştii în securitate vor diseca problema în orele următoare), dar este suficient să spun că cel puţin trei vulnerabilităţi distincte vizând biblioteca / pachetul KSES din WordPress 3.0.3, şi care ar fi putut duce la atacuri „Cross-site scripting”, şi-au găsit rezolvarea odată cu lansarea ultimei versiuni.

(...)
Citeşte integral articolul WordPress 3.0.4, actualizare dictată de realitate (173 cuvinte)

Copyright © Stefa Media. Comunicare şi Relaţii Publice, 2010. | Permalink | 10 comentarii
Articol din categoria: Vulnerabilităţi

Sigur, soluţia recomandată o reprezintă instalarea Service Pack 3, însă am întâlnit şi cazuri în care acest [...]]]> Se împlineşte o lună de când a fost retras suportul extins pentru Windows 2000 şi Windows XP cu Service Pack 2, iar urmările acelei decizii s-au văzut imediat, prin lipsa actualizărilor de securitate destinate celor două sisteme de operare. Mai mult, atunci când avem de-a face cu o vulnerabilitate serioasă precum cea din Windows Shell, lipsa unui patch care să poată fi utilizat şi pe un sistem cu SP2, i-a forţat pe mulţi dintre utilizatori să apeleze la soluţii din exterior (amintesc aici de Windows Shortcut Exploit Protection Tool de la Sophos), însă îmi vine greu să cred că se vor găsi mereu alţii care să facă treaba Microsoft-ului.

Sigur, soluţia recomandată o reprezintă instalarea Service Pack 3, însă am întâlnit şi cazuri în care acest lucru este mai uşor de zis, decât de făcut. Şi nu discut aici despre rea-voinţă sau neimplicare.

Nu contest decizia Microsoft care prin retragerea update-urilor (inclusiv a celor de securitate) încearcă să-şi forţeze utilizatorii să instaleze SP3 (ba mai mult, la fel trebuie procedat şi în cazul browser-ului Internet Explorer), însă mi se pare ciudat ca în cazul unor actualizări ce încă se mai pot instala pe sisteme XP cu SP2, acest lucru să fie trecut sub tăcere. Caz concret: actualizarea de securitate KB2286198 pentru Windows XP (în speţă, fişierul WindowsXP-KB2286198-x86-custom-ENU.exe) contrar a ceea ce v-am spus într-un articol trecut, se poate instala şi pe sisteme neactualizate, dacă se efectuează o uşoară modificare în regiştri. Am vorbit despre ce sunt regiştrii din Windows, iar acolo vă spuneam la un moment dat despre secţiunea HKEY_LOCAL_MACHINE (abreviată HKLM), ce conţine informaţiile de configurare, particulare fiecărui sistem în parte.

Dale Pearson (consultant de securitate), într-o scurtă demonstraţie făcută pe blogul său, a arătat cum actualizarea KB2286198 este compatibilă cu Windows XP SP2 şi ce trebuie schimbat în regiştri, pentru a i se permite instalarea.

(...)
Citeşte integral articolul Actualizarea KB2286198… şi pentru Windows XP SP2 (233 cuvinte)

Copyright © Stefa Media. Comunicare şi Relaţii Publice, 2010. | Permalink | 6 comentarii
Articol din categoria: GHIDURI ŞI TUTORIALE, Vulnerabilităţi

Secunia a raportat [...]]]> A trecut ceva vreme de la ultimul articol. Nu s-a întâmplat nici notabil (nici în bine, nici în rău), perioada de repaus fiind necesară pentru a-mi reamintit că blogul Stefa Media nu trebuie privit drept o obligaţie, nefiind constrâns în vreun fel de numărul articolelor, al comentariilor, de vizite sau vizitatori. Mai mult, în condiţiile în care atmosfera rămâne una destul de încinsă, nu avea rost să vă stresez zi de zi cu materiale ce ar contribui (involuntar sau nu) la o veritabilă după-amiază de câine (Dog Day Afternoon) şi nici acum n-aş fi intervenit, dacă n-ar fi existat semnale despre o nouă vulnerabilitate de tip Ziua Zero (Zero-Day) ce afectează sistemele de operare Windows (de la XP şi până la Windows 7).

Secunia a raportat problema încă din 6 august, după ce un cercetător în domeniul securităţii (Gil Dabah, cunoscut şi ca Akron) a postat pe blogul Heapos Forever o serie indicii despre o eroare de tip „buffer overflow” din driver-ul win32k.sys (mai precis în funcţia „CreateDIBPalette()”) ce apare atunci când se folosesc pentru câmpul „biClrUsed” valori mai mari de 256 (de culori) într-o structură „BITMAPINFOHEADER”. Fără a intra în detalii tehnice (găsiţi toate informaţiile necesare pe ragestorm.net ori secunia.com), utilizatorii de Windows pot sta liniştiţi deoarece situaţia nu este nici pe departe aşa de periculoasă precum au lăsat unele site-uri să se înţeleagă.

NU există un exploit care să permită persoanelor rău intenţionate să beneficieze de această vulnerabilitate, singurul risc reprezentându-l o escaladare a privilegiilor, obţinută DOAR prin accesul fizic la sistem. Un eventual exploit ar putea duce la rularea de cod maliţios (prin accesul direct la kernel), însă cel puţin la data când scriu aceste rânduri nu este cazul cazul.

(...)
Citeşte integral articolul Vulnerabilitate de tip Ziua Zero (Zero-Day) în win32k.sys (254 cuvinte)

Copyright © Stefa Media. Comunicare şi Relaţii Publice, 2010. | Permalink | 7 comentarii
Articol din categoria: SECURITATE ŞI INTIMITATE, Vulnerabilităţi

Realizând gravitatea situaţiei, Microsoft ne propusese deja o soluţie „de avarie” (acel Fix it 50486), însă după cum foarte bine remarcau şi cititorii acestui blog, decizia de „maltrata” meniul de start şi bara de lansare nu poate fi privită drept o alternativă viabilă. Personal, am fost plăcut surprins de [...]]]> Mai bine mai târziu decât niciodată, Microsoft a lansat o actualizare de securitate menită să remedieze vulnerabilitatea din Windows Shell. Pentru cei care nu-şi mai aduc aminte, o eroare în procesarea shortcut-urilor (.LNK) şi care ţine de validarea nenecorespunzătoare a anumitor parametri, permite rularea de cod maliţios prin intermediul unor shortcut-uri create special, pe TOATE sistemele de operare Windows. Nici măcar Windows 7, cu sau fără Service Pack-ul aflat în stadiul beta, nu este scutit de probleme.

Realizând gravitatea situaţiei, Microsoft ne propusese deja o soluţie „de avarie” (acel Fix it 50486), însă după cum foarte bine remarcau şi cititorii acestui blog, decizia de „maltrata” meniul de start şi bara de lansare nu poate fi privită drept o alternativă viabilă. Personal, am fost plăcut surprins de rezolvarea găsită de Sophos care a venit în întimpinarea utilizatorilor cu un utilitar gratuit (Windows Shortcut Exploit Protection Tool) ce semnalează prezenţa link-urilor maliţioase.

Buletinul de securitate Microsoft Security Bulletin MS10-046 încearcă să pună punct acestei poveşti, prin actualizarea cu numărul de ordine KB2286198, disponibilă atât prin programul automat dar şi pentru a fi descărcată manual.

(...)
Citeşte integral articolul KB2286198. Actualizare de securitate (596 cuvinte)

Copyright © Stefa Media. Comunicare şi Relaţii Publice, 2010. | Permalink | 22 comentarii
Articol din categoria: Ameninţări informatice, Vulnerabilităţi

Despre ce este vorba ? Pe 16 iulie 2010, Microsoft a publicat o înştiinţare (Microsoft Security Advisory 2286198), unde se menţionează vulnerabilitatea componentei Windows Shell, din Microsoft Windows. O eroare în procesarea shortcut-urilor (.LNK) şi care ţine de validarea nenecorespunzătoare a anumitor parametri, permite rularea de cod maliţios prin intermediul unor shortcut-uri create special.

Mai mult, vulnerabilitatea se manifestă atât la citirea automată a unui dispozitiv portabil (caz în care facilitatea AutoPlay este activată / am discutat despre diferenţele dintre [...]]]> Ieri am vorbit despre actualizările de securitate din luna iulie, însă din motive care ţin de cantitatea de informaţie oferită într-un singur material şi mai ales pentru că vulnerabilitatea nu făcea obiectul unuia dintre cele patru buletine de securitate, am lăsat subiectul numit Windows Shell pentru astăzi.

Despre ce este vorba ? Pe 16 iulie 2010, Microsoft a publicat o înştiinţare (Microsoft Security Advisory 2286198), unde se menţionează vulnerabilitatea componentei Windows Shell, din Microsoft Windows. O eroare în procesarea shortcut-urilor (.LNK) şi care ţine de validarea nenecorespunzătoare a anumitor parametri, permite rularea de cod maliţios prin intermediul unor shortcut-uri create special.

Mai mult, vulnerabilitatea se manifestă atât la citirea automată a unui dispozitiv portabil (caz în care facilitatea AutoPlay este activată / am discutat despre diferenţele dintre autoplay şi autorun), dar şi la parcurgea conţinutului respectivului dispozitiv folosind banalul Windows Explorer. Contrar a ceea ce s-a spus în primele zile, dezactivarea autorun nu vă protejează în cazul acestei vulnerabilităţi din Windows Shell.

Vulnerabilitatea poate fi exploatată atât local (printr-un stick USB, card de memorie, ş.a.m.d.), dar şi de la distanţă (eng. remotely) prin drive-urile partajate în reţea sau WebDAV. Un motiv în plus de îngrijorare este dat de gradul ridicat de penetrare a vulnerabilităţii, practic nici un sistem de operare Microsoft nefiind scutit de probleme. Vom vedea într-un scurt filmuleţ de la Sophos cum se manifestă această problemă pe sistem Windows 7 cu User Account Control (UAC) activ şi dintr-un cont cu privilegii limitate.

Microsoft a luat cunoştinţă deja de primele atacuri (deşi reduse ca amploare) şi a reacţionat prin lansarea unui Fix it. Soluţia este una de moment, menită mai degrabă de a-i descuraja pe atacatori, în condiţiile în care utilizatorii obişnuiţi nu se grăbesc să instaleze actualizările socotite critice, cu atât mai puţin un petic.

(...)
Citeşte integral articolul Vulnerabilitatea din Windows Shell (206 cuvinte)

Copyright © Stefa Media. Comunicare şi Relaţii Publice, 2010. | Permalink | 12 comentarii
Articol din categoria: GHIDURI ŞI TUTORIALE, PREZENTĂRI, Vulnerabilităţi

Help and Support Center (prescurtat HSC) este o facilitate Windows menită a oferi utilizatorilor informaţii utile cu privire la cele mai dezbătute probleme. De exemplu, HSC ne prezintă facilităţile Windows-lui, ne arată cum să descărcăm / [...]]]> Cei care mă urmăresc şi prin intermediul contului de Twitter au aflat, la doar o zi distanţă după ce am publicat articolul destinat actualizărilor de securitate Microsoft pentru luna iunie, că o altă vulnerabilitate a fost recunoscută în mod oficial. Ea privea componenta Windows Help and Support Center din Windows XP, respectiv Windows Server 2003, şi chiar dacă nu se înregistraseră atacuri până la acea oră, era doar o chestiune de timp până când exploit-ul risca să producă efecte dintre cele mai nedorite.

Ce reprezintă Help and Support Center (HSC) ?

Help and Support Center (prescurtat HSC) este o facilitate Windows menită a oferi utilizatorilor informaţii utile cu privire la cele mai dezbătute probleme. De exemplu, HSC ne prezintă facilităţile Windows-lui, ne arată cum să descărcăm / să instalăm diferite programe sau actualizări, ne lămureşte cu privire la compatibilitatea / incompatibilitatea unui anumit dispozitiv hardware cu sistemul de operare, oferind o interfaţă prin care putem deschide link-uri de ajutor, accesând „hcp://”, în locul prefixului clasic „http://””.

(...)
Citeşte integral articolul Vulnerabilitatea din Help and Support Center (HSC) (437 cuvinte)

Copyright © Stefa Media. Comunicare şi Relaţii Publice, 2010. | Permalink | 12 comentarii
Articol din categoria: Vulnerabilităţi

Categoria VULNERABITĂŢI se va transforma în VULNERABITĂŢI ŞI ACTULIZĂRI, urmând ca atât pe sub domeniul noutati.stefamedia.ro (a cărui prezentare oficială se amână), dar şi pe blogul principal să aduc în atenţia cititorilor tot ceea ce consider ca fiind util. Iar mai apoi, dacă-i copil sa se joace, dacă-i cal sa tragă, dacă-i popa [...]]]> Urmare a discuţiei extrem de interesante avute ieri (cu privire la importanţa articolelor ce privesc subiecte de securitate şi modul în care acestea sunt percepute de vizitatorii obişnuiţi), am decis să operez câteva modificări în structura blogului Stefa Media. Fără a implica o repoziţionare „de nişă”, am să încerc să semnalez vulnerabilităţi prezente în diferite softuri (despre care aflăm zi de zi), subliniind importanţa informării corecte, ca prim pas al unei protecţii eficiente.

Categoria VULNERABITĂŢI se va transforma în VULNERABITĂŢI ŞI ACTULIZĂRI, urmând ca atât pe sub domeniul noutati.stefamedia.ro (a cărui prezentare oficială se amână), dar şi pe blogul principal să aduc în atenţia cititorilor tot ceea ce consider ca fiind util. Iar mai apoi, dacă-i copil sa se joace, dacă-i cal sa tragă, dacă-i popa (sau măcar interesat de propria securitate online) sa citească.

Nu intenţionez să iau locul vreunuia dintre cei patru călăreţi ai Apocalipsei (asta dacă tot am atins subiectul echitaţiei), şi este suficient să aruncaţi o privire pe contul de twitter ThreatFeed, pentru ca înţelege că mi-ar fi imposibil să ţin pasul cu toate problemele.

Ce-am să fac însă, este să prezint aşa numitele actualizări de marţi (sau Patch Tuesday), un obicei pe care Microsoft l-a deprins încă de pe vremea Windows-ului 98 şi de care am devenit, mai mult sau mai puţin, dependenţi. Acelora dintre voi mai puţin familiarizaţi cu Patch Tuesday, le spun că odată ce Microsoft a finalizat sistemului de actualizare automată, s-a văzut pus în situaţia de constata că foarte puţini utilizatori beneficiază de acestă facilitate, nefiind interesaţi / conştienţi de necesitatea actualizărilor.

(...)
Citeşte integral articolul Patch Tuesday. Actualizări de securitate, iunie 2010 (802 cuvinte)

Copyright © Stefa Media. Comunicare şi Relaţii Publice, 2010. | Permalink | 7 comentarii
Articol din categoria: Vulnerabilităţi

N-am ţinut morţiş să fiu „primul pe Google”. Poziţiile fruntaşe în SERP se pot obţine şi prin conţinut nu doar prin „hărnicie”, că doar nu suntem la o întrecere câmpenească, iar dacă uneori n-am avut priceperea necesară în a scrie articole bune, măcar am [...]]]> Dacă ar fi să numesc un lucru de care sunt cu adevărat mulţumit, aş pune accentul pe echilibrul de care am dat dovadă pe acest blog, din momentul apariţiei sale şi până în prezent. Şi îmi permit să amintesc două momente: atacul asupra versiunilor WordPress mai vechi de 2.8.4 şi cazul Aurora (avându-l ca protagonist pe neobositul Internet Explorer). În ambele situaţii, am preferat să aştept date concrete, din surse sigure, şi doar apoi am trecut la scrierea materialelor. Cu maximă precauţie.

N-am ţinut morţiş să fiu „primul pe Google”. Poziţiile fruntaşe în SERP se pot obţine şi prin conţinut nu doar prin „hărnicie”, că doar nu suntem la o întrecere câmpenească, iar dacă uneori n-am avut priceperea necesară în a scrie articole bune, măcar am dat dovadă de inspiraţie… tăcând. Aşteptând. Preferând să mă documentez.

Ei bine, în ultima săptămână, o serie de zvonuri au inundat paginile unor bloguri de profil, clamându-se existenţa unor vulnerabilităţi în WordPress 2.9.2. Problema a fost sesizată mai întâi la blogurile găzduite de Network Solutions şi consta în deturnarea URL-ului, a adresei blogului, iar acest articol din 10 aprilie, postat pe Sucuri Security, certifică gravitatea situaţiei.

(...)
Citeşte integral articolul Vulnerabilităţi în WordPress. Păcăleala lunii aprilie (556 cuvinte)

Copyright © Stefa Media. Comunicare şi Relaţii Publice, 2010. | Permalink | 2 comentarii
Articol din categoria: Vulnerabilităţi

Mă alătur demersului şi, dacă [...]]]> Iată că ne revedem într-o zi de weekend şi nu cu un articol „de compoziţie” (aşa cum mai nou este numit delirul în blogosferă), ci pentru a prezenta o problemă cât de poate de serioasă, şi de actualitate. Începând de ieri, 4 septembrie 2009, mai multe site-uri ce funcţionau pe platforma WordPress, au font ţinta unor atacuri SQL Injection. Responsabil: un vierme (n.r. de internet) care „şi-a depăşit atribuţiile”. Situaţia s-a agravat de la oră la oră, asta şi în datorită comodităţii sau a lipsei de implicare din partea administratorilor, iar în această după-amiază am fost martorul unor anunţuri aproape disperate, prin care cei în măsură să acţioneze erau imploraţi să facă DE URGENŢĂ actualizarea versiunii de WordPress.

Mă alătur demersului şi, dacă încă mai folosiţi WordPress 2.8.3, 2.8.2, 2.8.1 sau… ferească sfântul, 2.6 şi ceva, lăsaţi baltă articolul şi faceţi upgrade-ul la WordPress 2.8.4. Vedeţi că am spus folosit ambii termeni: „upgrade”, respectiv „actualizare”… doar, doar.

Atenţie ! Blogurile găzduite pe domeniul WordPress.com NU SUNT AFECTATE, deoarece acolo instalările sunt actualizate automat. În cazul celorlalte bloguri, doar versiunile anterioare lui WordPress 2.8.4 AU PROBLEME.

Pentru ceilalţi însă, care au căzut din lac în puţ, ori s-au urcat în cireş să dea de pământ cu elefantul, am sintetizat câteva idei despre cum trebuie procedat în cazul unui astfel de atac. Nu este un ghid oficial, ci doar o sinteză bazată pe materialele găsite.

(...)
Citeşte integral articolul Versiunile mai vechi de WordPress se află sub asediu. SQL Injection (971 cuvinte)

Copyright © Stefa Media. Comunicare şi Relaţii Publice, 2009. | Permalink | 17 comentarii
Articol din categoria: Vulnerabilităţi