Flatnuke: storia di un attacco al Web

Flatnuke è un CMS che non utilizza alcun DBMS, si appoggia infatti esclusivamente a dei file di testo (flat file) per l'archiviazione dei dati, ed è da questa caratteristica da cui deriva il suo nome.

Si tratta di una soluzione completamente Open Source, liberamente utilizzabile e modificabile, giunta ormai alla versione 2.6.

Questo CMS è in circolazione da qualche tempo e non ha avuto una vita facile; il fatto di non utilizzare DBMS gli ha permesso un successo e una diffusione molto veloce, infatti, in tanti hanno sfruttato l'applicazione per sviluppare siti Web anche di medie dimensioni all'interno di configurazioni hosting economiche, nello stesso tempo molti Webmaster che non avevano le conoscenze necessarie per la gestione dei dati tramite database hanno trovato in esso una soluzione ideale.

La sua diffusione ha però attirato l'attenzione di alcuni cracker che non hanno fatto fatica ad individuare nel progetto alcuni punti deboli; Flatnuke, soprattutto per quanto riguarda la sua versione iniziale, non aveva certo nella sicurezza il suo punto di forza e cià ha portato ad un attacco in massa contro i siti Web (molti dei quali amatoriali) realizzati con questo CMS.

Una pericolosa falla a carico del sistema di gestione degli utenti permise tramite un attacco automatico di violare oltre 10 mila siti Internet.

Fortunatamente l'intervento di alcuni sviluppatori consentì di riportare la situazione alla normalità  e di chiudere molte delle "porte" che Flatnuke lasciava aperte all'azione dei malintenzionati.

Ad oggi Secunia segnala però molte vulnerabilità , alcune delle quali altamente critiche e non facilmente risolvibili; quindi, dal punto di vista della sicurezza, Flatnuke non può essere ancora considerato un prodotto maturo.

Da Flatnuke è stato prodotto un fork, prima denominato Flatnuke3 e poi ribattezzato Flatnux; per quanto Flatnux sia figlio della versione 2.x di Flatnuke i due progetti sono indipendenti, Flatnux parte dalla riscrittura completa del codice sorgente del CMS originario.

Flatnux, almeno parzialmente, permette infatti l'archiviazione dei dati anche all'interno di un database MySQL pur conservando in toto la capacità  di gestire le informazioni a partire da un flat file.