Report: Ghost Blogging Platform

Advisory: VoidSec-15-001 Disclosure date: March 03, 2015 Vendor: Ghost Advisory sent: January 26, 2015 First delay: February 24,2015  

Download the Report

Introduzione

In Gennaio, il team VoidSec (voidsec, bughardy, smaury) ha realizzato un web application penetration test sulla piattaforma di blogging Ghost. Ghost è un nuovo content management system dedicato ai blogger che cercano un’alternativa a WordPress. Un crescente numero di utenti ha abbandonato i CMS tradizionali per abbracciare piattaforme più minimali, concentrate sulla lettura e la scrittura, essenziali; in questo Ghost è...

GHOST, Analisi Tecnica

GHOST è una grave vulnerabilità presente nella libreria glibc in Linux e consente agli attaccanti di eseguire codice remoto (RCE – Remote Code Execution) senza avere alcuna conoscenza preliminare delle credenziali del sistema. A questa vulnerabilità è stato assegnato il CVE-2015-0235. La vulnerabilità è stata scoperta dai ricercatori di Qualys e colpisce la libreria dalla versione 2.2, inclusa nei sistemi Linux da Novembre dell’anno 2000. Il bug è stato corretto il 21 Maggio 2013 (tra le release 2.17 e...