Calificación:
  • 0 voto(s) - 0 Media
  • 1
  • 2
  • 3
  • 4
  • 5
Solucionado Solucionar la vulnerabilidad "Pingback"
#1
Se ha detectado una vulnerabilidad en wordpress, por la cual se puede atacar a una web WordPress mediante el archivo xmlrpc.php, que se utiliza para dar soporte al protocolo XML-RPC que utiliza wordpress en los Pingbacks.
Este protocolo viene activado en la version 3.5 de wordpress (Si todavia usas una version anterior, no debes preocuparte) y demomento no hay forma de desactivarlo, pero si te puedes proteger hasta que saquen una solucion a este problema:

Si tienes servicios que utilicen XML-RPC, debes añadir el siguiente codigo a tu .htaccess

Código:
# Proteccion ataques xmlrpc
<Files xmlrpc.php>
    Order Deny,Allow
    Deny from all
    Allow from 012.355.666
    Allow from 987.654.321
</Files>

Donde pone Allow From debes añadir las direcciones IP que deseas que SI tengan acceso.

Si por el contrario, no utilizas para nada el protocolo XML-RPC, te recomiendo utilizar el siguiente codigo:

Código:
# Proteccion ataques xmlrpc
<IfModule mod_alias.c>
    RedirectMatch 403 /xmlrpc.php
</IfModule>

Un saludo.
WWW
#2
y que es eso de los pinbacks?
WWW
#3
Pues un pingback es simplemente un enlace a tu web.


Cuando este en casa, explicare todo bien.

LOS USUARIOS QUE UTILICEN EL PLUGIN JETPACK, DEBEN DESACTIVARLO.

Mas tarde explicare todo mejor.
WWW
#4
Importante para quienes usan WP.

En cuanto a el significado de Pingback me remití a wikipedia y aquí lo enconntrado:

Pingback es un método para que los autores de la web soliciten una notificación cuando alguien enlaza uno de sus documentos. El envío y la recepción de esta información es transparente al usuario. Esto permite a autores no perder de vista quién los está enlazando. Algunas herramientas de sistema de bitácoras, como WordPress, permiten pingback cuando el artículo es publicado. Es necesario entonces que el sitio referido implemente un servicio de recogida de pingbacks y que el autor de ese documento declare en el documento referido la ubicación de este servicio, de esa manera el método es completamente funcional.
[Imagen: 5z4em.png]
Guía Panel Clientes ☼   ☼ WIKI ☼   ☼  DNS SKYLIUM ☼   ☼ NORMAS  ☼   ☼ PLANES HOSTING




WWW
#5
Pues yo creo que no utilizo pingback pero de todos modos te agradezco mucho por el dato.

Saludos
WWW
#6
Muchísimas gracias, acabo de implementarlo en mi blog
WWW
#7
(04-01-2013, 07:37 PM)DarkMaster escribió: Pues yo creo que no utilizo pingback pero de todos modos te agradezco mucho por el dato.

Saludos

No es que lo utilices, es que la version 3.5 lo trae activo y no se puede desactivar demonento. Lo uses o no, debes utilizar algun metodo.
WWW
#8
Enterado!.. Muchas gracias por el aviso Sonrisa
WWW
#9
Y la ips que se permiten de quienes serían? Las que pusiste tú..
Firma editada por Moderación: Sitio web no alojado en Skylium (spam).
#10
Steeep escribió:Y la ips que se permiten de quienes serían? Las que pusiste tú..

las que tu pongas en allow from
WWW


Posibles temas similares...
Tema Autor Respuestas Vistas Último mensaje
  ¿Vulnerabilidad en Lockdown WP Admin? Wampirius 4 433 01-10-2015, 11:16 PM
Último mensaje: 23r7190



Usuarios navegando en este tema: 1 invitado(s)