Light Blue Touchpaper e WordPress

Tempo fa ho riportato che il sito di Light Blue Touchpaper era stato compromesso in quanto non aggiornato. In questo post viene raccontato un po’ del retroscena. È vero che il sito è stato compromesso in quanto non aggiornato, ma c’è stato un seguito interessante. L’attaccante infatti, una volta avuta occasione di leggere il database delle password durante la prima compromissione, ha sfruttato un attacco 0-day per rientrare dopo l’aggiornamento, attacco che è la cookie authentication vulnerability di cui si parla in questi giorni. Il punto interessante è che a quel punto Steven J. Murdoch si è letto il codice ed ha scoperto l’errore nell’implementazione dell’hash. Il punto interessante secondo me è che una volta che un esperto si legge il codice (attentamente immagino, chissà il fastidio per quella seconda intrusione dopo l’aggiornamento) il problema viene fuori. Nella mia (poca?) esperienza di codice, ci vuole del codice scritto molto, molto, molto bene perché un professionista non trovi delle vulnerabilità con relativamente poco sforzo. D’altra parte, il codice di WordPress è pubblico, e questo la dice lunga su quanto sia poco ovvio il rapporto codice pubblico/audit pubblico.