Grosse faille non patchée dans Wordpress ! Amis bloggers, voici l’astuce pour éviter le drame…
Par Korben le 10 décembre 2007
[Edit: Apparement, ils ont rétrogradé la gravité de la faille car ils n'ont pas été capable de trouver un POC qui fasse vraiment mal... Donc c'est une faille qualifiée de "Information Disclosure" qui en fait peut donner des informations sur votre système sans directement le mettre en danger... Enfin, patcher ça ne coute rien et c'est plus prudent quand même...]
J’ai vu ça sur le site de BlogSecurity. Une faille encore non patchée traine dans Wordpress et permettrait à un pirate de se faire votre blog sans aucun souci…
Pour savoir si votre Wordpress est faillible (et il l’est surement), il suffit de tester avec le POC suivant (Proof of Concept) :
Et si ça vous répond un truc du genre :
WordPress database error: [You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'AND comment_approved = '1' ORDER BY comment_date_gmt DESC LIMIT 30' at line 1]
SELECT wp_comments.* FROM wp_comments WHERE comment_post_ID = AND comment_approved = ‘1′ ORDER BY comment_date_gmt DESC LIMIT 30
Upgrade your mind Mon, 10 Dec 2007 21:47:53 +0000 http://wordpress.org/?v=2.3.1
Ca veut dire que vous l’avez dans le baba… Pour éviter le drame, une seule solution que j’ai trouvé sur le blog de Ghusse, c’est d’installer le plugin Redirection et de faire les 2 redirections suivantes en cochant bien la case Regexp (moi j’ai fais les redirection vers une page aléatoire de mon site) :
- .*feed=.*p=.*
- .*p=.*feed=.*
Ca vous protégera le temps que sorte la mise à jour de Wordpress. Encore merci à Ghusse qui je le sais, passe quelque-fois ici.
Je vous recommande aussi la lecture des sujets suivants
- Quelques plugins wordpress de qualité
- Testez les failles de votre Blog
- 20 plugins pour Wordpress qui valent le détour
- Comment rendre compatible son site web ou son blog avec les téléphones portables sans se prendre la tête
- Faire cohabiter les liens entrants Google et Technorati dans Wordpress 2.3
Pti-seb
Wordpress 2.3.1 converts the ‘p’ parameter to an integer.
query.php line 449:
$qv['p'] = (int) $qv['p'];
So there is no exploit possibility.
En gros c’est pas vraiment une faille si je comprends bien.
Posté le 10 décembre 2007 à 23:44:07
admin
Merci pour le complement d’info Pti-Seb.
Apparement comme ils n’ont pas trouvé de POC qui fasse mal, ils ont déclaré cette faille en tant qu’”information disclosure”
Donc effectivement, c’est moins dangereux du coup, même si ça peut donner des infos sur les versions de logiciels que vous utilisez ou votre hebergement
Posté le 10 décembre 2007 à 23:55:46
GaKaTaN
Grand merci pour l’info !
Mon blog était touché comme la plupart que j’ai testé d’ailleurs !
POur info, ton url de test est bizarre car la tienne me donnait pas d’erreur alors que l’url fficielle de test ( http://localhost/path_to_wordpress/?feed=rss2&p=1 ) m’affichait bien l’erreur.
Posté le 11 décembre 2007 à 00:11:37
Ghusse
Effectivement, je passe par là de temps en temps.
Ton info est intéressante ptit-seb !
Posté le 11 décembre 2007 à 08:02:17
Jay
Moi j’ai rien patché et j’arrive sur ça: Commentaires sur : Schaudi are back!
Vous affichez un flux RSS qui contient un contenu fréquemment mis à jour.
C’est bon signe docteur?
Posté le 11 décembre 2007 à 09:42:40
Julien
Merci pour l’info, apparemment je ne suis pas touché (pour une fois :D).
C’est le genre d’infos à prendre en considération. Il y a quelques temps je pensais être tranquille avec mes petits sites peu connus et pour finir…j’ai quand même eu le droit à du phishing etc… ah lala c’est la guerre sur le net
Posté le 11 décembre 2007 à 10:21:01
Olivier
Merci pour l’info, j’étais concerné.
Est-ce que l’on aurait pas meilleur temps de gérer dans le le .htaccess ? (au passage si quelqu’un sait faire la transposition en RedirectPermanent je suis preneur).
Posté le 11 décembre 2007 à 11:17:54