New version: 2.3b

[rejetto]

come posso aiutarti?

[xpl01t]

E' molto semplice io ho fatto una richesta per avere un cve id univoco , dal momento che tu non l'hai mai chiesto per il tuo programma in quanto non usi bugtraq , loro hanno bisogno di verificare l'id col tuo prodotto quindi ad un certo punto ti metterò in copia nelle mail e dovrai semplicemente confermare la richesta dell'id dicendo che ti ho comunicato la vulnerabilità , ovviamente prima di renderla public ti aiuterò a fixarla.Una volta ricevuto l'id ci sarà un ente certificatore che esaminerà la vulnerabilità per renderla elegibile se mi va bene la pubblicano, io guadagno un CVE a mio nome e tu una vulnerabilità in meno in oltre tutti gli utenti ne verranno a conoscenza essendo public e certificata e faranno l'upgrade del tuo prodotto.

Fammi sapere se ti sta bene

[rejetto]

Non c'è problema.
Comunque non è la prima volta che viene trovata una vulnerabilità da persone che si occupano di sicurezza. Ricordo ancora Luigi Auriemma. Ci sono già dei CVE su HFS, e immagino tu lo sappia. Non immaginavo avessi bisogno della mia collaborazione per il filing, ma non conosco queste cose quindi fai tu.
Vorrei essere chiaro al riguardo: a me fa piacere che tu abbia trovato il buco. Preferisco la sicurezza derivata dall'attenzione che dall'ignoranza. In generale ringrazio chiunque dedichi del tempo per segnalarmi bug, di qualsiasi natura.
La mia email è a@rejetto.com

[rejetto]

I'm highly dissatisfied with this update, because I already know a lot of people will just keep their custom version of the default template ignoring the security problem.

Just to be clear: despite not having fixed the problem Daniele has found, version 2.3b truly fixes some other serious problems.
I published it knowing a lot of people have such a configuration that will ignore the fix, keeping the problem.
This truly annoys me but I couldn't work enough to get a better solution.
I still want to help spreading the cure, so I want to publish soon a revision that will inject the solution inside customized templates.
This could potentially break some customizations, but... better safe than sorry.

[rejetto]

me and xpl01t are collaborating and version 2.3c will include the fix for the other security problem.

[teslaman]

I'm guessing that these exploits also apply to anyone using templates other than the default, like RAWR and such?

[xpl01t]

These exploits can be applied to any 2.3x server and they are considered "level critical" an important patch will come soon