Wordpress injection vulnerability through comment fields
https://translate.google.com/#fi/en/http%3A%2F%2Fklikki.fi%2Fadv%2Fwordpress_ennakko-fi.html%0A%0AKAIKKI%20YLEISESTI%20K%C3%84YT%C3%96SS%C3%84%20OLEVAT%20WORDPRESS-VERSIOT%20HAAVOITTUVIA%0A03.11.2014%0AKlikki%20Oy%20on%20havainnut%20WordPress-sis%C3%A4ll%C3%B6nhallintaj%C3%A4rjestelm%C3%A4ss%C3%A4%20haavoittuvuuden%2C%20joka%20mahdollistaa%20ulkopuoliselle%20ohjelmakoodin%20sy%C3%B6tt%C3%A4misen%20WordPress-blogikirjoituksiin%20ja%20-sivuihin.%20Ainakin%20ohjelmiston%20kaikki%203-versiot%2C%20joita%20asennuksista%20on%20noin%2090%25%2C%20ovat%20haavoittuvia%20vakioasetuksin.%0A%0AHy%C3%B6kk%C3%A4%C3%A4j%C3%A4lt%C3%A4%20ei%20edellytet%C3%A4%20sis%C3%A4%C3%A4nkirjautumista.%20Tyypillisess%C3%A4%20tapauksessa%20hy%C3%B6kk%C3%A4yksen%20voi%20kohdentaa%20valikoidusti%20yll%C3%A4pitok%C3%A4ytt%C3%A4j%C3%A4%C3%A4n%20ja%20sy%C3%B6tt%C3%A4%C3%A4%20t%C3%A4m%C3%A4n%20selaimeen%20JavaScripti%C3%A4%2C%20jolla%20saadaan%20ajettua%20haluttua%20koodia%20my%C3%B6s%20palvelimella%20k%C3%A4ytt%C3%B6j%C3%A4rjestelm%C3%A4n%20tasolla.%0A%0AOlemme%20tiedottaneet%20WordPressille%20ongelmasta%20syyskuun%2026.%20p%C3%A4iv%C3%A4.%20Valmistajan%20mukaan%20korjaus%20on%20viiv%C3%A4stynyt%2C%20koska%20ongelma%20on%20osoittautunut%20luultua%20laajemmaksi%20ja%20koskee%20jossain%20m%C3%A4%C3%A4rin%20my%C3%B6s%20uusinta%204.0-versiota.%20Kaikki%20ohjelmiston%20nykyiset%20versiot%20olisivat%20siis%20haavoittuvia.%0A%0AVakavin%20ongelma%20koskee%20n%C3%A4hd%C3%A4ksemme%20kuitenkin%20kolmosversioita%2C%20mukaan%20lukien%20uusinta%203.9.2%3Ata.%20Hy%C3%B6kk%C3%A4ys%20tapahtuu%20kommenttilomakkeen%20kautta%2C%20joka%20on%20oletuksena%20kaikille%20avoin.%20Hy%C3%B6kk%C3%A4%C3%A4j%C3%A4n%20sy%C3%B6tt%C3%A4m%C3%A4%20koodi%20ajetaan%2C%20kun%20kohdek%C3%A4ytt%C3%A4j%C3%A4%20k%C3%A4y%20kommentin%20sis%C3%A4lt%C3%A4v%C3%A4ll%C3%A4%20sivulla.%20Yll%C3%A4pitok%C3%A4ytt%C3%A4j%C3%A4n%20osalta%20t%C3%A4m%C3%A4%20voi%20tapahtua%20my%C3%B6s%20WordPressin%20yll%C3%A4pitopaneelissa%20(Dashboard).%0A%0AKyseess%C3%A4%20lienee%20vakavin%20julkaistu%20WordPress-haavoittuvuus%20vuoden%202009%20j%C3%A4lkeen.%20Alttiina%20on%20maailmanlaajuisesti%20arviolta%20kymmeni%C3%A4%20miljoonia%20sivustoja.%0A%0AWordPress%20valmistelee%20korjauksen%20julkaisua%20t%C3%A4ll%C3%A4%20viikolla%2C%20alustavasti%20keskiviikkona.%0A%0AHelsingin%20Sanomat%20on%20perjantaina%20julkaissut%20WordPressi%C3%A4%20koskevan%20uutisen%2C%20joka%20p%C3%A4%C3%A4sis%C3%A4ll%C3%B6lt%C3%A4%C3%A4n%20noudattelee%20t%C3%A4ss%C3%A4%20tiedottamaamme.%20Uutinen%20sis%C3%A4lt%C3%A4%C3%A4%20mm.%20sen%20aiemmin%20julkistamattoman%20tiedon%2C%20ett%C3%A4%20vain%20uusin%204.0-versio%20olisi%20turvallinen.%20Tuossa%20vaiheessa%20t%C3%A4m%C3%A4%20oli%20my%C3%B6s%20Klikki%20Oy%3An%20k%C3%A4sitys.%20WordPressin%20meille%20antamien%20tietojen%20valossa%20se%20on%20kuitenkin%20osoittautunut%20liian%20optimistiseksi.%0A%0AN%C3%A4hd%C3%A4ksemme%20uutisessa%20on%20k%C3%A4ytetty%20Klikki%20Oy%3An%20Sanoma%20Newsille%20keskiviikkona%20antamaa%20ennakkotietoa%2C%20jonka%20luottamuksellisuutta%20painotimme%20useaan%20otteeseen.%20Emme%20ole%20antaneet%20suostumusta%20sen%20julkaisuun%2C%20koska%20ongelman%20ennenaikainen%20julkistaminen%20voisi%20pahimmillaan%20saattaa%20vaaraan%20kymmeni%C3%A4%20miljoonia%20sivustoja%20ja%20luultavasti%20satoja%20miljoonia%20internetin%20k%C3%A4ytt%C3%A4ji%C3%A4.%0A%0AUutisessa%20ei%20suoraan%20yksil%C3%B6id%C3%A4%20t%C3%A4t%C3%A4%20ongelmaa%2C%20mutta%20ei%20liene%20sattumaa%2C%20ett%C3%A4%20lehti%20julkaisee%20historiansa%20ensimm%C3%A4isen%20WordPressin%20tietoturvaan%20keskittyv%C3%A4n%20uutisen%20juuri%20nyt.%0A%0AJos%20HS%20olisi%20nojautunut%20vain%20julkisiin%20tietoihin%2C%20uutinen%20olisi%20keskeisilt%C3%A4%20osiltaan%20virheellinen.%20Todellisuudessa%20WordPressin%20tukemissa%20versioissa%203.7-3.9%20ei%20ole%20ollut%20julkisesti%20tunnettuja%20haavoittuvuuksia%20kuukausiin.%20Mainitut%20toukokuun%20version%20haavoittuvuudet%20on%20korjattu%20ja%20ne%20ovat%20merkitykselt%C3%A4%C3%A4n%20v%C3%A4h%C3%A4isi%C3%A4%20havaitsemaamme%20ongelmaan%20verrattuna.%0A%0AUutisen%20julkaisuajankohta%20on%20sama%2C%20jonka%20ennakkoon%20ilmoitimme%20Sanoma%20Newsille.%20Valmistajan%20pyynn%C3%B6st%C3%A4%20p%C3%A4%C3%A4timme%20kuitenkin%20lyk%C3%A4t%C3%A4%20tiedon%20julkaisua.%20Lehden%20tarkoituksena%20lienee%20johdatella%20lukijat%20ja%20muu%20media%20siihen%20k%C3%A4sitykseen%2C%20ett%C3%A4%20HS%20ja%20mainittu%20yritys%20tiedottivat%20ongelmasta%20ensimm%C3%A4isin%C3%A4%20maailmassa.%0A%0ALis%C3%A4ksi%20Viestint%C3%A4viraston%20CERT-FI%2C%20jolle%20annoimme%20ennakkotietoa%20ongelman%20Suomen-koordinointia%20varten%2C%20my%C3%B6nt%C3%A4%C3%A4%20ottaneensa%20asiassa%20yhteytt%C3%A4%20uutisessa%20mainittuun%20ulkopuoliseen%20yritykseen%20ja%20kertoneensa%20tulevasta%20WordPress-tiedotteesta%20ainakin%20jollain%20tasolla.%0A%0AOn%20valitettavaa%2C%20ett%C3%A4%20kyberturvallisuudesta%20vastaava%20viranomainen%20v%C3%A4litt%C3%A4%C3%A4%20tietoa%20kilpailevalle%20yritykselle%2C%20joka%20vuorostaan%20k%C3%A4ytt%C3%A4%C3%A4%20sit%C3%A4%20mainostarkoituksiin%2C%20kun%20kysymyksess%C3%A4%20on%20maailmanlaajuisesti%20harvinaisen%20vakava%20tietoturvauhka.%0A%0AOngelman%20havaitsemisessa%20tai%20selvitt%C3%A4misess%C3%A4%20uutisessa%20mainitulla%20yrityksell%C3%A4%20ei%20ole%20ollut%20mink%C3%A4%C3%A4nlaista%20roolia.%0A%0ASanoma%20Newsin%20p%C3%A4%C3%A4t%C3%B6s%20julkaista%20Klikki%20Oy%3An%20antamat%20luottamukselliset%20tiedot%20toisen%20yrityksen%20nimiss%C3%A4%2C%20vastoin%20alkuper%C3%A4isen%20tietol%C3%A4hteen%20suostumusta%2C%20on%20niin%20ik%C3%A4%C3%A4n%20harmillinen.%20Mink%C3%A4%C3%A4nlaista%20selityst%C3%A4%20tapahtuneelle%20ei%20ole%20tiedusteluistamme%20huolimatta%20annettu.%0A%0AVastoin%20n%C3%A4it%C3%A4%20tahoja%20Klikki%20Oy%20on%20sitoutunut%20asian%20vastuulliseen%20koordinointiin%20WordPressin%20kanssa.%20Emme%20siksi%20voi%20viel%C3%A4%20t%C3%A4ss%C3%A4%20vaiheessa%2C%20tietovuodosta%20huolimatta%2C%20julkaista%20ongelman%20tarkempia%20yksityiskohtia.%0A%0AWordPress-yll%C3%A4pit%C3%A4jien%20kannattaa%20varautua%20p%C3%A4ivitt%C3%A4m%C3%A4%C3%A4n%20palvelimensa%20t%C3%A4ll%C3%A4%20viikolla.%20Suunnitelmissamme%20on%20julkaista%20yksityiskohtaisempi%20tiedote%20l%C3%A4hip%C3%A4ivin%C3%A4%2C%20kun%20WordPress%20saa%20korjauksen%20valmiiksi.%0A%0AValmistelemme%20my%C3%B6s%20haavoittuvuudelta%20suojaavaa%20pluginia%20niit%C3%A4%20yll%C3%A4pit%C3%A4ji%C3%A4%20varten%2C%20jotka%20eiv%C3%A4t%20jostain%20syyst%C3%A4%20voi%20p%C3%A4ivitt%C3%A4%C3%A4%20viimeisimp%C3%A4%C3%A4n%20versioon.%0A%0AAiempia%20tiedotteitamme%20voi%20lukea%20t%C3%A4%C3%A4ll%C3%A4.