Allarme sicurezza per le applicazioni php. Ci riguarda?

PI: Applicazioni PHP, allarme sicurezza http://punto-informatico.it/servizi/ps.asp?i=53897&r=PI

Gli esperti di sicurezza stanno mettendo in allerta utenti e amministratori di sistema: una seria vulnerabilità si annida
in molti programmi basati su PHP, come i sistemi per la gestione di contenuti web e blog
Roma - Per il vasto ed eterogeneo mondo delle applicazioni web basate su PHP è scattato
negli scorsi giorni un allarme sicurezza. Diversi programmi creati con il celebre linguaggio
open source, ed in particolare alcuni famosi sistemi per gestire blog, wiki e siti web, soffrono
di una grave debolezza che potrebbe consentire ad un cracker di eseguire del codice da
remoto e compromettere un webserver.
La vulnerabilità interessa alcune librerie di PHP, tra cui PHPXMLRPC e Pear XML-RPC, che
implementano XML-RPC: si tratta di un protocollo di remote procedure call (RPC) adottato,
per esempio, da molte applicazioni web che utilizzano i feed RSS per ottenere aggiornamenti.
Lo scopritore del problema, James Bercegay della GulfTech Security Research, ha affermato
che la vulnerabilità è molto semplice da sfruttare: ciò metterebbe a serio rischio tutti i server
che contengono applicazioni PHP vulnerabili. Tra queste ultime gli esperti di sicurezza
segnalano PostNuke, WordPress, Drupal, Serendipity, phpAdsNew, phpWiki e phpMyFAQ.
La falla è stata corretta con il rilascio delle versioni aggiornate dei pacchetti XML-RPC for
PHP 1.1.1 e PEAR XML_RPC 1.3.1 e di molti dei software afflitti dal problema.
Il noto osservatorio del web Netcraft sostiene che in alcuni casi la soluzione più semplice sia
quella di disattivare la funzione XML-RPC.
Tutti i contenuti di Punto Informatico sono pubblicati secondo la licenza di utilizzo di Creative
Commons, salvo diverse indicazioni.
L'editore non assume alcuna responsabilità nel caso di eventuali errori contenuti negli articoli o di errori in cui fosse
incorso nella loro riproduzione sul sito. Tutte le pubblicazioni su Punto Informatico avvengono senza eventuali
protezioni di brevetti d'invenzione; inoltre, i nomi coperti da eventuale marchio registrato vengono utilizzati senza
tenerne conto.
Punto Informatico è testata giornalistica registrata al Tribunale di Roma
al n. 51 del 7.2.1996 - De Andreis Editore S.r.l.
Fondato da Andrea De Andreis