Erneut ein Exploit? Dies mal über Spam Karma 2.2

Mir fehlt eine anständige Begründung. Nicht, dass ich eine genaue Erklärung erwarte, woe der Exploit funktioniert - das nun wirklich nicht - aber etwas mehr Hintergrundinformationen wären ganz nett, damit die Info auch glaubwürdig wirkt.

Wessen Problem?

Hallo jottlieb,

Zitat von jottlieb

Wenn das ein Problem mit SpamKarma ist, warum:

- wird man nicht aufgefordert, stattdessen SK zu deaktivieren?
- sollten sich die WP-Entwickler darum kümmern?

Komische Sache...

Ist das denn ein Problem mit SK? Dr Dave schreibt doch nur etwas von WP ganz allegemein oder?

Zitat von daniel

also wenn der entwickler von spam karma sagt, dass es einen fehler gibt in seinem plugin, dass zur kompromitierung des blogs führen kann über die registrierung, dann ist das für mich glaubwürdig genug.

Genau das. Wenn ich mit meinem Auto in die Leitplanken rase, ist der ADAC Schuld ...

Wenn der Entwikcler von SK2 einen Fehler in seinem Plugin zugibt, kann er wohl kaum WP dafür verantwortlich machen.

hmmm...

Zitat von jottlieb

Laut Threadersteller hört sich das so an, als läge es an SK.

"If you are running Wordpress as your blogging platform and if you have been trusting enough to leave User registration enabled for guests..."

Ich finde das hört sich ziemlich allgemein an, aber ich kann ja auch irren :-)

ICh hab grad hier was drüber gelesen und countzero ghet davon aus, dass es auf wordpress zutrifft, mit und ohne sk2.

"Apparently there’s a major security hole contained in WordPress in connection to this feature which is not yet closed (and apparently yet no patch available, otherwise the advise would sound different, right?)."

Das spricht doch für sich, oder?

right...
die Meldung von DrDave besagt eindeutig, daß er ein generelles problem von WP beschreibt, unabhängig davon, ob SK2 installiert ist oder nicht. wenn das problem an seinem eigenen plugn läge, hätte er stattdessen einfach einen patch geschrieben und dann diesen patch announced, statt über seine newsfunktion in SK2 diese welle aufzureißen.

man sollte imme rim hinterkopf behalten, daß DrDave einer der bekanntesten plugin-autoren der WP-szene ist und er sich daher sicherlich mehrfach überlegt hat, ob er diese welle aufmachen soll oder nicht, bevor er sich dazu durchgerungen hat. insofern steht für mich die glaubwürdigkeit der meldung überhaupt nicht in frage.

vielmehr habe ich gestern abend unmittelbar nach erhalt der nachricht (ich habe absolut zufällig keine 30min nachdem Dave seine warnung verfasst hat die newsmeldung erhalten) im code meiner WP2.1 nightly build geforscht und habe eine stelle gefunden, die sich meiner meinung nach für genau das ausnutzen läßt, was Dave in seiner warnung ziemlich verbrämt beschrieben hat - nämlich den besitz über andere user-accounts an sich zu reißen und damit u.U. sogar die kontrolle über das gesamte blog.
daß ich keine details zu den gefundenen codestellen gebe, versteht sich von selbst, und ich mag mich sogar irren, ob ich das problem wirklich exakt lokalisiert habe. das ändert jedoch absolut nichts daran, daß das problem definitiv sehr schwerwiegend sein muss, anderenfalls hätte Dave nicht diese welle losgetreten.

und nur weil Matt (wieder mal) so tut als wüßte er von nichts, zieht das noch lange nicht Daves glaubwürdigkeit in frage. daß ich von der art und weise wie Matt solche sicherheitswarnungen betreffs WP behandelt nichts halte, sollte sich mittlerweile in der szene herumgesprochen haben.

Zitat

hinterkopf behalten, daß DrDave einer der bekanntesten plugin-autoren der WP-szene ist

Was nicht automatisch heisst, dass er recht hat. Ich würde erstmal abwarten und Tee trinken.

...hier der aktuelle Stand der Dinge:

1.) Ja, was Dave aufgetan hat ist ein generelles Problem! Das Problem ist in der aktuellen 2.0.4 (beta) allerdings schon behoben worden, bevor Dave es veröffentlicht hat.

Zitat von Ryan

...Actually, I had it fixed before the thread was started. At least I
think it's fixed. I was getting a bit confused about which bug we were
talking about and the exact nature of the bug. I've now talked to Dave,
and I think I got it. I'm to blame in part for confusing the issue.

To recap, there is a bug in core WP involved that I believe I've fixed
for 2.0.4. This is the core API bug Dave is talking about on his blog.
I was in error before to say that this is a problem to be fixed solely
by the plugins. There are some plugins that need help beyond the fix to
the core, but the core fix should cover most plugins. Sorry for the
confusion.

Alles anzeigen

2.) Verwirrung kam auf weil man in der Diskussion zuerst auf einer falsche Fährte war - Ryan hatte zu dem Zeitpunkt als das Problem aufkam, noch keinen Kontakt zu Dave. Das Problem bezog sich auf Plugins die user_can_access_admin_page() ungeprüft einsetzen. Auch dieses Problem wurde in 2.0.4 (beta) schon behoben.

3.) Matt ist nicht der alleinige Entwickler von WordPress. Ryan (ebenfalls Automattic) kümmert sich zur Zeit mehr um die Entwicklung als Matt. Wenn Matt, Ryan oder einer der anderen Entwickler ein Problem nicht sofort in den einschlägigen Blogs postet, heisst das nicht, dass die Probleme nicht diskutiert werden. Öffentliche Diskussionen finden in Maillisten und den WP-Chats statt, nichtöffentliche Problemlösungen werden via Mail oder persönlich diskutiert.

4.) 2.0.4 wird in absehbarer Zeit erscheinen. Zur Zeit laufen die letzten Tests. Da 2.0.4 ein Bugfix-Release ist sollen auch wirklich alle gemeldeten Fehler beseitigt sein bevor es veröffentlicht wird. Getestet wird die aktuelle Beta von der Entwicklercommunity, wer daran partizipieren möchte ist eingeladen sich an den Maillisten und den Chats zu beteiligen.

5.) [SIZE="3"]Keine Panik![/SIZE] Wer 100% auf der sicheren Seite sein möchte, sollte bis zum erscheinen von 2.0.4 die Benutzerregistrierung deaktivieren.

...btw, es nützt nichts und niemanden auf den Zug der Panikmache aufzusteigen.
Öfters mal ein Backup machen, dann kann man auch ruhig schlafen.