Vulnerabilità WordPress, milioni di siti a rischio.

La vulnerabilita’ di WordPress
WPBakery, un diffuso plug-in per WordPress che svolge la funzionalita’ di editor html, ha una grave vulnerabilità che consente agli utenti con livello di autore e collaboratore di iniettare JavaScript e HTML dannosi in post e pagine. Il difetto interessa tutti i siti WPBakery che utilizzano la versione 6.4 e precedenti e coinvolge oltre 4 milioni di siti web.

Vulnerabilità WordPress WPbakery

I dettagli del problema
Wordfence ha scoperto una vulnerabilità nel famoso page builder di WPBakery (vedi articolo Wordfence del 7 ottobre 2020). La falla consentiva ad attaccanti autenticati con livello di contributore e autore di iniettare codice JavaScript dannoso in post e pagine. Inoltre, la vulnerabilità consente a questi utenti di modificare i post di altri utenti.

Ciò accade perché WPBakery ha disabilitato i controlli di filtraggio post-HTML predefiniti nella funzione saveAjaxFe. Pertanto, qualsiasi utente con accesso al generatore di pagine potrebbe potenzialmente iniettare HTML e JavaScript. Inoltre, la funzionalità onclick di WPBakery per i pulsanti consente agli hacker di aggiungere codice javascript dannoso in un pulsante che viene eseguito quando gli utenti fanno clic su di esso.
Le vulnerabilità wordpress nei plug-in e nei temi non sono nuove. Quindi, è una buona idea seguire alcune best practice di sicurezza per mantenere il tuo sito al sicuro. Infine, per prevenire attacchi DDOS e tenere a bada gli hacker.

Soluzione
La buona notizia è che c’è una soluzione rapida: aggiorna WPBakery all’ultima versione 6.4.1. Quindi ti consigliamo di aggiornare il generatore di pagine il prima possibile. Inoltre, tieni d’occhio tutti gli account a livello di contributore e autore per assicurarti che siano affidabili.

Utilizzi il page builder di WPBakery? Hai aggiornato all’ultima versione? Quale e’ lo stato degli altri plug-in? Se non sai come fare per aggiornare o hai poco tempo affidati a professionisti attraverso un contratto di assistenza.

Falla su OpenVPN

Scoperta una falla di sicurezza sul pacchetto opensource piu’ usato per costruire connessioni sicure attraverso VPN. Il pacchetto e’ alla base di moltissime infrastrutture basate su Linux e in appliance che offrono la possibilita’ di creare con facilita’ tunnel criptati per la creazione di reti private virtuali.
Il bug di sicurezza OpenVPN e’ stato scoperto da Lev Stipakov e segnalata sulla lista degli sviluppatori il 15 Aprile 2020. E’ gia’ stata creata una patch al codice che corregge il problema.

VEDI sito web OpenVPN
Al bug e’ stato assegnato un codice CVE (Common Vulnerability Exposure), il CVE-2020-11810
Vedi sito web MITRE
Non e’ ancora chiara la gravita’ della falla cosi’ come la possibilità’ di sfruttarla per compiere operazioni non autorizzate. Non si sa neppure se esistono exploit 0day che hanno utilizzato tale falla. Non ancora classificato il bug di sicurezza nel’archivio NVD (National Vulnerability Database).
A breve i diversi vendor procederanno all’aggiornamento dei pacchetti, alcuni di essi lo hanno gia’ fatto (Slackware in primis)
Vedi sito web Slackware

SACK Panic: grave problema nei dispositivi basati su linux degli ultimi 10 anni

SACK panic sicurezza reti informatiche
SACK panic sicurezza reti informatiche

I ricercatori di Netflix hanno scoperto alcune nuove vulnerabilità denial-of-service (DoS) nei kernel Linux e FreeBSD, inclusa una grave vulnerabilità (CVSS: 8.2) chiamata SACK Panic che potrebbe consentire agli attori malintenzionati di bloccare da remoto i server ed interrompere le comunicazioni, secondo un advisory pubblicato nel repository Github: “Le vulnerabilità riguardano in particolare le capacità MSS (Maximum Segment Size) e SACK (Selective Acknowledgement) TCP. Il più serio, soprannominato “SACK Panic“, consente un blocco del kernel attivato da remoto sui kernel Linux”.

I ricercatori di Netflix hanno aggiunto che ci sono patch per la maggior parte di queste vulnerabilità e strategie di mitigazione aggiuntive da considerare se la patch non è possibile.

“I problemi sono stati assegnati codici CVE: CVE-2019-11477 è considerato un livello di gravità importante, mentre CVE-2019-11478 e CVE-2019-11479 sono considerati di gravità moderata”, ha dichiarato un advisory di Red Hat.

Questi difetti possono avere un impatto su qualsiasi organizzazione che esegue grandi flotte di computer Linux di produzione e, se lasciati privi di patch, consentono agli aggressori remoti di assumere il controllo e bloccare le macchine.
Una volta che la maggior parte di delle infrastrutture avra’ ricevuto la patch appropriata, molte organizzazioni dovranno affrontare la lunga coda del ciclo di aggiornamento. Alla fine di questa coda ci sono i dispositivi che non ricevono aggiornamenti automatici e che potrebbero non ricevere alcun aggiornamento – la IOT (Internet of things) e i dispositivi non gestiti che in molti casi sono costruiti su Linux (router, firewall, VPN, etc.). Questa vulnerabilità risale a molto tempo indietro (dal momento che Linux v2.6.29, che è stato rilasciato 10 anni fa), quindi la quantità di dispositivi legacy che usano il codice vulnerabile sarà molto significativa in questo caso, e questi tipi di dispositivi probabilmente non riceveranno aggiornamenti e rimarranno vulnerabili.

RIFERIMENTI

  • SACK Panic (CVE-2019-11477)
  • SACK Slowness or Excess Resource Usage (CVE-2019-11478)
  • SACK Slowness the RACK TCP Stack (CVE-2019-5599)
  • Excess Resource Consumption Due to Low MSS Values (CVE-2019-11479)

Falla di Exim mette a rischio milioni di server

Una grave vulnerabilità (CVE-2019-10149), che ha un punteggio di gravità critico di 9,8 su 10 sulla scala CVSS v3, è stata scoperta il 5 giugno nelle versioni dalla 4.87 alla 4.91 di Exim. La versione 4.92 di Exim non è vulnerabile.
La maggiore gravita’ della falla consiste nel fatto che, in determinate condizioni (non rare) la falla puo’ essere sfruttata da remoto per eseguire comandi di livello amministrativo.

Grave falla in server mail Exim
Grave falla in server mail Exim

Il server di posta Exim e’ un MTA open-source, che riceve, instrada e consegna messaggi e-mail da utenti locali e host remoti.
Exim è l’MTA predefinito incluso in alcuni sistemi Linux tra cui il diffusissimo sistema di Web-Hosting WHM/Cpanel.

Gli aggressori stanno sfruttando un difetto critico di Linux Exim per eseguire comandi remoti, scaricare i ministri crittografici e annusare altri server vulnerabili.

Nello specifico, sotto attacco è un difetto nei server di posta basati su Exim, che gestiscono un enorme numero di server di posta elettronica di Internet.

Exim è infatti ampiamente distribuito. Al momento della pubblicazione, i risultati di ricerca di una ricerca condotta da Shodan mostrano oltre 4,1 milioni di sistemi che eseguono versioni di Exim considerate vulnerabili (4.87-4.91), mentre 475.591 utilizzano l’ultima versione con patch (4.92). In altre parole, quasi il 90% dei sistemi con Exim è vulnerabile allo sfruttamento locale e potenzialmente allo sfruttamento remoto basato sulla configurazione.I risultati mostrano oltre 4,1 milioni di sistemi che eseguono versioni di Exim considerate vulnerabili (4.87-4.91)

Risultati totali per numero di versione
Exim 4.87: 206.024
Exim 4.88: 24.608
Exim 4.89: 206.571
Exim 4.90: 5.480
Exim 4.91: 3.738.863
Exim 4.92: 475.591

Gli aggressori stanno sfruttando il difetto, scoperto la scorsa settimana, per prendere il controllo delle macchine della vittima, cercare su Internet altre macchine da infettare e avviare un’infezione da cryptominer.

Una campagna diffusa sta sfruttando una vulnerabilità nell’agente di trasporto della posta Exim (MTA) per ottenere l’esecuzione da remoto dei comandi sui sistemi Linux delle vittime. I ricercatori dicono che attualmente più di 3,5 milioni di server sono a rischio dagli attacchi, che utilizzano un exploit wormable.

“Questi tipi di attacchi hanno grandi implicazioni per le organizzazioni”, hanno detto i ricercatori di Cybereason in un post di giovedì. ” Il processo di recupero da questo tipo di attacco è costoso e richiede molto tempo.”

Il difetto
Il difetto deriva dalla convalida impropria dell’indirizzo del destinatario nella funzione deliver_message () nel server.

“Una patch esiste già, è in fase di test e backported a tutte le versioni rilasciate da (e incluso) 4.87”, secondo un recente avviso di sicurezza. ” La gravità dipende anche dalla configurazione. Dipende da quanto vicino alla configurazione standard è la tua configurazione di runtime Exim.

Una prima ondata di attacchi a questa vulnerabilità – che ha coinvolto utenti malintenzionati che lanciavano exploit da un malintenzionato server command-and-control (C2) – è stata scoperta il 9 giugno dal ricercatore Freddie Leeman.

Si consigli di provvedere subito all’aggiornamento dei server che presentano tale grave falla al fine di proteggere i propri utenti e quelli esterni che possono veder violati i propri dati riservati. A tal fine si consiglia di lasciar operare sistemisti linux esperti (suggeriamo i servizi erogati da SicurezzaRete.com)

Denial of service web server linux, danni economici e soluzioni

Segue un caso reale di Denial Of Service Distribuito di web server linux risolto da SicurezzaRete.

Scenario: Contatto di azienda che eroga contenuti multimediali a pagamento. Richiesta assistenza per server bloccato poiche’ sotto attacco di tipo Denial Of Service da 10 giorni.

Richiesta ricevuta da SicurezzaRete: “Da alcuni giorni il nostro server subisce degli attacchi ddos. Nonostante il sito sia protetto da cloudflare e dal firewall CSF questo hacker riesce a tenerlo giù per ore, fino a che il provider N….cheap blocca l’ip per troppi accessi… Abbiamo assolutamente necessità che in giornata il sito sia messo in sicurezza…”

Tipo: messa in sicurezza e ripristino servizio.

Priorita’: urgente

Danni stimati: 35.000-45.000 Euro di mancato fatturato in 10 giorni.

Giorno 0
Analisi: Il problema e’ causato da un attacco Denial of service distribuito (DDOS) presumibilmente generato con strumenti tipo memcrashed (sfruttano circa 80.000 host compromessi per generare un effetto moltiplicatore di traffico UDP) usati per saturare la banda disponibile per l’host.

Alla ripetuta sollecitazione al provider (N…cheap) la risposta e’ deludente e mostra la loro impossibilita’ tecnica di bloccare il Denial of service:
We are afraid that the DDoS attack is still in place (UDP pkts/s > 8000; 622.60Mb/s). This time on on 198.x.y.z again. The next network block will expire within half an hour. Reboot won’t help here.
We are deeply sorry.

Giorno 1
Azione 1: apertura canale sul server bloccato
Azione 2: attivazione nuovo server presso un provider con dispositivi adeguati di protezione anti-DDOS
Azione 3: messa in sicurezza totale dei servizi sul nuovo server. Configurazione DNS corretta.
Azione 4: migrazione verso nuovo server di tutta la piattaforma. Ottimizzazione server.
Azione 5: configurazione per accessibilita’ della macchina solo da front-end (Cloudflare).
Azione 6: ripristino del servizio, avvenuto entro 36 ore dalla prima chiamata.

Nuovo attacco di tipo diverso verso Cloudflare. Rallentamento del server.
Azione 7: creazione script per interazione attraverso API Cloudflare per protezione dinamica della macchina. Servizi completamente operativi ed efficienti. Il Denial of service del web server linux non e’ piu’ efficace.

Conclusioni:
a) si consiglia di affidarsi a provider di buon livello in particolare se si tratta di business on-line dove i disservizi possono generare danni economici significativi.
b) affidarsi a sistemisti esperti (SicurezzaRete) per la soluzione di problemi tecnici di rete e/o sistemistici complessi.

Denial of service web server linux

Richiedi assistenza per Denial of service web server linux

Linux mail server Vs servizi email in cloud

Per i nostri clienti abbiamo messo a confrontato i servizi email in cloud di due tra i maggiori provider.
A tale confronto (aggiornato al Marzo 2019) abbiamo aggiunto una soluzione proprietaria realizzata con un mail server privato operante su server virtuale linux (VPS) su cui avviene una installazione di servizio di posta elettronica basato su Linux.
Il risultato evidenzia che solo in pochi casi il Cloud è economicamente conveniente rispetto ad un mail server privato.
Confrontando i servizi Google Apps for Works, Microsoft con Office 365 e un VPS con installazione dedicata di mail server linux (comprensivi di assistenza) e considerando 1 anno di utilizzo si ottengono i costi mensili per ciascuna mailbox rappresentati nel grafico (dimensione di ciascuna mailbox: 50 GB per MS Office 365 e 30 GB per Google Apps e Mailserver privato VPS).
Oltre le 7 mailbox risulta conveniente la soluzione proprietaria con una soluzione linux mail server. Numerose aziende italiane potrebbero trarre benefici economici adottando tale soluzione.

Linux mail server Vs email in cloud
Mail server dedicato linux Vs email in cloud

Maggiori informazioni sull’installazione di Server privato di posta

Email aziendale, posta elettronica servizi a confronto

email aziendale confronto
email aziendale confronto

Comunque vengano chiamati, Email Aziendale, Posta Elettronica Aziendale, Piani Email Aziendali, si tratta sempre dei servizi più usati dalle aziende per lo scambio dei messaggi con i propri clienti e fornitori: posta elettronica.

Qui segnaliamo un caso reale di una azienda con diverse sedi in Italia che ha in uso 700 mailbox aziendali sul proprio dominio.
Il reparto IT ha deciso di rinnovare il proprio servizio e il fornitore e per questo ci ha chiesto di mettere a confronto quanto disponibile sul mercato. Ecco cosa e’ emerso.

Stime eseguite su 700 Email account *:

Gmail: 3.416,00 Euro/mese IVA COMPRESA (Caselle MAX 30 GB)

OVH: 845,46 Euro/mese IVA COMPRESA (Caselle MAX 10 GB)

Aruba: 641,81 Euro/mese IVA COMPRESA (Caselle MAX 5 GB)

Sicurezzarete: 470,00 Euro/mese IVA COMPRESA (Caselle MAX 30 GB)
Mail Server dedicato, antivirus, antispam, firewall, pannello amministrativo, certificato ssl per tutti i protocolli (web, imap, smtp),
accesso tramite pop3, imap e webmail, mailbox fino a 30 GB. Server managed ovvero gestito da Sicurezzarete (non occorre conteggiare ulteriore assistenza). Durata minima contratto 6 mesi.
Stesso costo fino a 1000 Account.

In sostanza l’adozione di un server mail gestito (managed) per la gestione della email aziendale permette di avere un risparmio di almeno il 28% e di avere a disposizione servizi migliori (30 GB contro 5 GB spazio mailbox). Se poi il confronto dei servizi di email aziendale viene fatto con provider come Gmail o OVH il risparmio sale ad oltre il 40%. Se il numero di mailbox fosse maggiore di quello usato nel nostro confronto (700 mailbox aziendali), il risparmio aumenterebbe ancora.
* I calcoli sono stati eseguiti alla data del 27 ottobre 2018 e sono stati considerati i costi dei servizi piu’ possibili simili tra loro visto che alcuni fornitori scorporano in varie componenti i servizi acquistabili (estensione spazio di archiviazione, servizio imap, antispam, antivirus). Di ciascun fornitore viene riportato il link al listino usato sul relativo nome.

INFORMAZIONI

Foreshadow / L1TF nuova falla di sicurezza nei processori Intel

Nei giorni scorsi Intel ha reso noto la scoperta di un nuovo vettore del tipo “esecuzione speculativa side-channel”, denominato L1TF / Foreshadow e basato sullo stesso concetto dei difetti Spectre e Meltdown scoperti ad inizio 2018.

Sicurezzarete

Cos’è L1TF?
Chiamato “L1 Terminal Fault” (L1TF) – o “Foreshadow” – questa vulnerabilità riguarda le CPU con tecnologia SMT (nota anche come “hyper-threading” per i processori Intel). Può consentire l’esecuzione di codice dannoso su un thread per accedere ai dati dalla cache L1 di un altro thread all’interno dello stesso core.

La vulnerabilità Foreshadow è difficile da sfruttare e solo una dimostrazione sviluppata in condizioni di laboratorio ha convalidato la sua esistenza. Sebbene non ci siano prove che suggeriscano che questa vulnerabilità sia stata ancora usata, sono stati creati tre identificatori CVE con qualifica di livello “alto”:

L1 Terminal Fault – SGX (CVE-2018-3615) 7.9 High
L1 Terminal Fault – OS, SMM (CVE-2018-3620) 7.1 High
L1 Terminal Fault – VMM (CVE-2018-3646) 7.1 High

Il manutentore di Linux Greg Kroah-Hartman ha rilasciato nuovi aggiornamenti sui canali del kernel di Linux 4.18, 4.17, 4.14, 4.9 e 4.4 per risolvere la vulnerabilità di L1 Terminal Fault “L1TF” / Foreshadow tipo Meltdown che colpisce i processori Intel.

Le versioni del kernel Linux 4.4.148, 4.9.120, 4.14.63, 4.17.15 e 4.18.1 sono le prime a presentare le patch con la mitigazione a L1TF / Foreshadow.

Qui gli script per testare la vulnerabilita’ delle proprie macchine:

DOWNLOAD dello script per verificare lo stato di protezione per i sistemi Linux:
https://github.com/speed47/spectre-meltdown-checker/raw/master/spectre-meltdown-checker.sh

Ottimizzazione siti web ed ecommerce, il rapporto velocità/profitto

Studi recenti hanno dimostrato che esiste una chiara relazione tra la velocità di caricamento delle pagine di un sito e la loro capacità di condurre a contatti o produrre profitto nell’ambito ecommerce.
In un tempo in cui la maggior parte di siti web e’ costruita con il diffuso CMS WordPress e Woocommerce, spesso si assiste a tempi di caricamento di una singola pagina di oltre 8 secondi.

Gli studi eseguiti (kissmetrics) mostrano che il 47% dei consumatori si aspetta che una pagina web venga caricata in 2 secondi o meno.
Il 40% delle persone abbandona un sito web che impiega più di 3 secondi per caricarsi.
Un ritardo di 1 secondo nella risposta della pagina può comportare una riduzione del 7% delle conversioni.
Se un sito di e-commerce guadagna € 1.000 al giorno, un ritardo di un secondo a pagina pagina potrebbe potenzialmente costare € 25.000 di vendite perse ogni anno.
Alcune delle possibili soluzioni per l’ottimizzazione dei siti web sono: la riduzione delle immagini e degli script, sistemi di caching lato client e server, la compressione, l’uso di protocolli evoluti come http/2 e l’ottimizzazione del server.
Questa puo’ essere operata agendo su moltissimi parametri come l’ottimizzazione del database (che spesso e’ un elemento critico di tutto il sistema),  La scelta del tipo di web server (apache o nginx) e la sua configurazione con i corretti parametri per il carico di utilizzo previsto e per fronteggiare eventuali picchi di uso.
Impostante anche il linguaggio di scripting utilizzato (PHP, Ruby, Python, etc.) ed ovviamente la scelta del sistema operativo e la sua configurazione ottimale. Spesso, infatti, i parametri iniziali con cui vengono forniti i server (reali o virtuali) dagli hosting provider possono essere migliorati con incrementi di prestazioni ingenti.
Se questi parametri sono ben impostati, come descritto in precedenza, i miglioramenti di prestazioni ottenuti con l’ottimizzazione del server e l’ottimizzazione del sito web wordpress o woocommerce si traduce in maggiori profitti economici.

ottimizzazione siti apache, wordpress, woocommerce
ottimizzazione siti apache, wordpress, woocommerce

Verifica stato di protezione da Meltdown e Spectre

Le ultime enormi falle rivelate nel 2018, Meltdown e Spectre, mettono a rischio moltissimi sistemi.

Controlla Meltdown_Spectre

Come si fa per verificare se i nostri sistemi sono vulnerabili?

Ecco due riferimenti:

Non stupitevi se, ad oggi (19 Gennaio 2018) i vostri sistemi sono vulnerabili, lo sono la maggior parte di quelli esistenti sul pianeta.
Per assistenza professionale potete contattare SicurezzaRete