CMS e sicurezza, uno sguardo su Secunia

Giusto per curiosità  mi sono fatto un giro su Secunia, una delle maggiori società  mondiali nel settore della sicurezza informatica, per documentarmi un po' sugli avvisi di sicurezza che col passare degli anni hanno coinvolto i diversi CMS; ho ristretto la ricerca a quelli più utilizzati ma il motore di Secunia legge un database talmente vasto che permetterà  sicuramente di trovare informazioni sui pericoli che hanno coinvolto altre applicazioni di cui non farà il nome per non dilungarmi troppo.

Non intendo in alcun modo fare una classifica dei CMS più o meno sicuri, la mia ricerca si è svolta in modo molto semplice: "inserisco un nome nel modulo e vedo cosa ne viene fuori"; l'intenzione non era quella di ricavare statistiche precise, gli elementi che influenzano la sicurezza di un CMS non sono pochi, ivi compreso lo sviluppo di estensioni di terze parti, quindi la quantità  di avvisi dipende molto da quante persone concorrono allo sviluppo del CMS e dei suoi add-on e, naturalmente, dalla sua "anzianità  di servizio".

Per Mambo ho trovato 56 avvisi di sicurezza, il primo risale al lontano 2003 mentre l'ultimo che certamente è molto più interessante per gli odierni utilizzatori, è datato 3 Maggio 2007; si tratta di una vulnerabilità  (moderatamente critica) a carico delle restrizioni di sicurezza che potrebbero essere bypassate senza un aggiornamento alla versione 4.6.2.

Sono passato poi a Joomla, ho trovato 41 avvisi di sicurezza di cui il primo risale al Giugno 2006, l'ultimo è stato invece emesso molto di recente e riguarda una vulnerabilità  (non critica) a carico del parametro "searchword" nel file di index che potrebbe permettere l'esecuzione di attacchi cross-site scripting.

Da notare come per Joomla la stragrande maggioranza degli avvisi riguarda componenti accessori.

Drupal invece ha collezionato 62 avvisi di sicurezza in un periodo che va dal Luglio 2005 al 18 Ottobre 2007; l'ultimo (scarsa criticità ), riguarda una vulnerabilità  dovuta alla non adeguata validazione dei parametri per le richieste in alcune pagine delle versioni precedenti alla 5.3; il bug, in mancanza di un aggiornamento, potrebbe appunto portare a danni derivanti da azioni di cross-site request.

Se volete documentarvi sugli avvisi di sicurezza relativi al vostro CMS preferito, il motore di ricerca di Secunia è ha disposizione per la libera consultazione.

Un solo consiglio, non basatevi sul numero di avvisi per giudicare la sicurezza di un CMS, una sola vulnerabilità  critica è molto più preoccupante di 10 definite non critiche.