Вийшов WordPress 2.3.2

21:39 06.01.2008

Наприкінці грудня, 29.12.2007, вийшла нова версія WordPress 2.3.2 - оновлення для гілки WP 2.3.x.

WordPress 2.3.2 це багфікс та секюріті випуск для 2.3 серії. В даній версії було виправлено багато багів та уразливостей, в тому числі серйозних уразливостей, про які я писав в грудні.

Зазначу, що в офіційному пості на сайті зазначені не всі виправлення, а лише частина - про деякі виправлення зумисно не було повідомлено в пості. Про них можна дізнатися лише подивившися детальну інформацію про зміни в файлах. На сторінці Trac з переліком виправлень також наведені не всі виправлення (зокрема не всі секюріти фікси).

Офіційно розробники WP повідомили, що в WordPress 2.3.2 виправлений баг з витоком інформації про чорнетки, а також пофіксені Information disclosure уразливості (виявлені мною), та були виправлені витоки інформації в XML-RPC та APP реалізаціях. В якості бонуса, в версії 2.3.2 була додана можливість задавати власну сторінку з повідомленнями про помилки в БД.

Як наводиться в Trac були виправлені наступні баги та уразливості:

  • Покращена швидкодія роботи системи (оптимізовані функції sanitize_post та sanitize_post_field)
  • По замовчуванню не виводяться повідомлення про помилки в БД (поки не встановлено WP_DEBUG в true). Нарешті вони зробили те, про що я просив їх ще в жовтні 2006, коли знайшов перші SQL DB Structure Extraction в WP
  • Власна DB Error Page
  • Обмежений витік інформації в XML-RPC
  • Виправлена дірка в query.php, що приводила до витоку інформації про чорнетки
  • Скрипти setup-config.php та install.php тепер перевіряють на коректний зв’язок з MySQL

Але це не вся інформація про секюріти виправлення в WP 2.3.2. Як повідомив Peter Westwood в своєму пості WordPress 2.3.2 in detail, в даній версії було зроблено набагато більше виправлень (ніж повідомлено в офіційному пості).

Він навів 12 найбільш важливих виправлень. Окрім вище наведених (в Trac) 6 виправлень, також відзначу наступні:

  • Введені різні правила для різних типів URI
  • Виправлена XSS уразливість в wp-mail.php
  • Обмежений витік інформації в xmlrpc методі wp.getAuthors
  • Додані додаткові перевірки в методах xmlrpc
  • Додані додаткові перевірки в APP сервері
  • Виправлена функція validate_file() для протидії Directory traversal (на Windows) - про численні Local file include, Directory traversal та інші уразливості (що були виправлені в даній версії) я писав раніше

Зазначу, що хоча в цій версії виправленні численні Directory traversal та Local file include та Information disclosure уразливості (знайдені мною), а також відключене по дефолту виведення помилок роботи з БД (що я пропонував їм зробити ще в 2006 році), розробники жодного разу не згадали про мою допомогу, що є дуже нечемно. Більш того, вони не відповіли на більшість з моїх останніх листів і не подякували мені, лише тихенько виправили дірки (і навіть не про всі з них згадали в офіційному пості), що дуже несерйозно з їхнього боку.

Також зазначу, що дані уразливості, про котрі я писав в грудні, виправлені лише в версії WP 2.3.2 (тобто в гілці 2.3.x). Всі попередні версії, зокрема гілки 2.0.x, 2.1.x та 2.2.x (в тому числі останні версії в цих гілках) є вразливими.


Leave a Reply

You must be logged in to post a comment.