DoS na najnowszego WordPressa

Polski badacz Krzysztof „vnd” Katowicz-Kowalewski (nie mylić z Krzysztofem Kotowiczem) odnalazł błąd w funkcji crypt_private(), znajdującej się w pliku wp-includes/class-phpass.php. Odpowiednia manipulacja parametrem licznika może zmusić serwer do wykonania np. miliarda iteracji funkcji md5, wyczerpując zasoby procesora oraz pamięci maszyny. Wystarczy w tym celu wysyłać odpowiednio spreparowane ciasteczko w zapytaniu o wpis zabezpieczony hasłem.

Jeśli zatem nie publikujecie wpisów zabezpieczonych hasłami, to możecie spać spokojnie. Szczegółowy opis błędu wraz z przykładowym kodem go wykorzystującym znajdziecie na stronie Krzysztofa.