problemi di sicurezza

[fractis]

ciao a tutti,
ho installato joomla Joomla_1.5.5_ita-Stable.zip per realizzare un sito e oggi mi è arrivata la mail che riporto sotto:

Buongiorno,
come anticipato giorni fa, il dominio deformazione.net era stato sospeso dal Registrar americano perchè responsabile di diffondere SPAM e Virus in Rete.
Il sito, essendo stato costruito con Joomla era divenuto vulnerabile ad intrusioni, all'interno dello spazio web sono stati eliminati circa 600 file inseriti abusivamente e i file rimanenti risultavano anch'essi molto compromessi. Questo tipo di applicativi (Joomla), proprio perché molto vulnerabili,  necessitano sovente di aggiornamenti, cosa che il suo webmaster non aveva mai fatto.
Ora abbiamo reinstallato un nuovo Joomla nel suo spazio web, purtroppo quanto era stato fatto in precedenza, per i motivi sopra descritti è stato eliminato, pertanto è necessario reinstallare il db con le nuove chiavi di accesso (sotto elencate).
Diversamente, se dovete ricostruire il sito ex-novo, Vi consiglio di non usare più il Joomla.


secondo voi è possibile?!?! 

[ventus85]

Beh, hai una versione un po'vecchiotta di Joomla, siamo alla 1.5.14.
E nella versione che hai te c'erano dei gravi problemi di sicurezza, per questo vulnerabile.

[fractis]

ok che la versione è un pò vecchia, ma secondo te è possibile che un hacker abbia utilizzato l'installazione di joomla per diffondere spam e virus?
a me sembra una bufala di quelli dell'hosting! 

[fractis]

..e ancora: sti qua dell'hosting dicono

"eliminati circa 600 file inseriti abusivamente e i file rimanenti risultavano anch'essi molto compromessi"

ma è un problema loro del server, dell'ftp o quant'altro se ci sono 600 file inseriti abusivamente, certo non di joomla! 

[ventus85]

http://developer.joomla.org/security/news/241-20080801-core-password-remind-functionality.html

Pochi giorni dopo che era uscita la 1.5.5 si sono accorti che era necessario un nuovo aggiornamento per la correzione di una falla di sicurezza presente in quella versione e nelle precedenti.
Questa falla può consentire un attacco ad un sito ed anche la modifica della password che protegge l’area accessibile solo dall'admin.

Quindi si, è possibile che siano entrati dalla "porta" Joomla.

[fractis]

passi che hanno rubato la pwd da admin e hanno caricato da "media" 600 file infetti.. ma inviare spam da joomla?

[Spike1]

Se c'è un buco, per quanto minimo, si può fare qualsiasi cosa. Non è che hanno inviato spam da joomla (perlomeno dubito abbiano usato codice di joomla per inviare lo spam), ma hanno usato le vulnerabilità per entrare nel server (se configurato bene, solo nel tuo spazio), hanno caricato ciò che volevano e da lì bon, possono fare qualsiasi cosa anche inviare tonnellate di mail di spam (mediante gli script caricati ne basta uno tra quei 600 files...) che quindi risultano inviate dal tuo dominio.

Ed ecco perchè ti viene bloccato il dominio.

Non è allarmismo, è capitato a tutti di essere bucati, basta capire cosa si deve fare per evitarlo il più possibile.

I passi sono solo 2:

1) Scegliere un provider ragionevolmente sicuro.
2) Aggiornare sempre il sito all'ultima versione

[vamba]

Diversamente, se dovete ricostruire il sito ex-novo, Vi consiglio di non usare più il Joomla.

Potresti gentilmente inviarmi (in forma privata con Messaggio Privato) informazioni sul gestore Hosting che ti avrebbe inviato tale consiglio?
Gradirei molto scambiare due considerazioni con lo stesso, sempre che siano realmente stati loro a scrivere questo.

[fractis]

I passi sono solo 2:

1) Scegliere un provider ragionevolmente sicuro.
2) Aggiornare sempre il sito all'ultima versione

grazie,
volevo solo capire come fosse bilanciata la responsabilità.
Se mia perchè non ho aggiornato la versione o fosse di chi fa hosting perchè non ha i server ben configurati o magari gli sono entrati e non sa come giustifarsi!

Non è un bel gesto cancellare tutto un sito e parlare male di Joomla! 

[Spike1]

Diversamente, se dovete ricostruire il sito ex-novo, Vi consiglio di non usare più il Joomla.

Potresti gentilmente inviarmi (in forma privata con Messaggio Privato) informazioni sul gestore Hosting che ti avrebbe inviato tale consiglio?
Gradirei molto scambiare due considerazioni con lo stesso, sempre che siano realmente stati loro a scrivere questo.

Eh eh, beh guarda io ho acquisito un cliente (non joomla ma zen) in fuga precipitosa da dove si trovava prima (in Irlanda) perchè il provider gli ha detto: sorry, niente più siti fatti con strumenti open source da noi, prego accomodarsi da altre parti. Adducendo motivi di sicurezza (che a ben vedere possono esserci: se fai hosting puro e lasci ai clienti la gestione del sito e questi non procedono agli aggiornamenti, ecco che si aprono falle di sicurezza più o meno estesa ok, però anche se non gli consenti di scorazzare, possono ad esempio usare il dominio / server per spam e magari ti finisce l'ip del server nelle blacklist e poi devi smazzularti le richieste di rimozione).

Quindi se il provider non basa il suo business su hosting di questo tipo, penso ci possa stare che dica mi spiace, niente os da me (non ci sta però che dica 'meglio se eviti'..., se dice così mi sa tanto di improvvisazione).

Ah, tanto per gradire, il provider irlandese di cui sopra ha dato tempo 5 giorni per spostare il tutto (che vuol dire trasferimento domini (anche un .it ...) e aggiornamento delle versioni (erano due siti).
E si parla di e-commerce, peraltro molto attivi, ma non c'è stato verso, alla scadenza, zac dominio spento (ma spazio attivo e funzionante).

[56francesco]

però anche se non gli consenti di scorazzare, possono ad esempio usare il dominio / server per spam e magari ti finisce l'ip del server nelle blacklist e poi devi smazzularti le richieste di rimozione).

questa è più probabile...
sinceramente mi sembra una risoluzione ad personam anzi ad spammer impenitente...
 

[vamba]

volevo solo capire come fosse bilanciata la responsabilità.

Ovviamente il gestore hosting ti da un locazione uno spazio che devi cercare di mantenere il più sicuro possibile, abitando in una sorta di condominio.
Quindi tu sei obbiligato a mantenere sempre aggiornati gli strumenti di lavoro per far si che la sicurezza del tuo spazio sia la massima possibile.
Lato gestore hosting.. lo stesso dovrà continuare, a sua volta, a mantenere aggiornati gli strumenti lato server, e quando un gestore mi viene a dire
"niente software OS nei nostri server perchè sono scadenti e pericolosi..." forse dimentica che alcuni software (se non tutti se escludiamo i server winozzi) sono per la maggior parte OS e quindi questa affermazione del gestore è leggermente in conflitto.

[Spike1]

volevo solo capire come fosse bilanciata la responsabilità.

Ovviamente il gestore hosting ti da un locazione uno spazio che devi cercare di mantenere il più sicuro possibile, abitando in una sorta di condominio.
Quindi tu sei obbiligato a mantenere sempre aggiornati gli strumenti di lavoro per far si che la sicurezza del tuo spazio sia la massima possibile.
Lato gestore hosting.. lo stesso dovrà continuare, a sua volta, a mantenere aggiornati gli strumenti lato server, e quando un gestore mi viene a dire
"niente software OS nei nostri server perchè sono scadenti e pericolosi..." forse dimentica che alcuni software (se non tutti se escludiamo i server winozzi) sono per la maggior parte OS e quindi questa affermazione del gestore è leggermente in conflitto.

Yes, Marco, ma il conflitto sparisce se il gestore completa la frase in questo modo: niente OS se non sono io a gestirli oppure se non firmiamo un agreement dove ti impegni ad aggiornare in tempi ragionevoli ad ogni nuova versione.

[vamba]

Yes, Marco, ma il conflitto sparisce se il gestore completa la frase in questo modo: niente OS se non sono io a gestirli oppure se non firmiamo un agreement dove ti impegni ad aggiornare in tempi ragionevoli ad ogni nuova versione.

Infatti questo è ciò che io affermo ...
la nostra responsabilità è quella di tener aggiornati i software che utilizziamo

la loro è quella di garantire il servizio, anche aggiornando gli strumenti che permettono il servizio stesso.

Tutto ciò esula dal poter afffermare che se una o più versioni di un software sono pericolose tutta la catena è difettosa ...
altrimenti non esisterebbe alcun hosting e alcun sito e tantomeno la rete ...
sputare sentenze su un software equivale, in questi casi, a sputare controvento.

[Spike1]

Beh certo