Cabecera-v2-web.jpg

WordPress ocultó en su última actualización la corrección de una grave vulnerabilidad


Hace una semana WordPress publicó la versión 4.7.2 de WordPress destinada a solucionar tres vulnerabilidades. Sin embargo, acaba de anunciar que esa versión también corregí­a una grave vulnerabilidad que podrí­a permitir a usuarios sin autenticar elevar sus privilegios o inyectar contenido.

WordPress es un sistema de gestión de contenidos enfocado a la creación de blogs desarrollado en PHP y MySQL, ampliamente usado en la comunidad de bloggers debido a su facilidad de uso y sus caracterí­sticas como gestor de contenidos.

La publicación original de WordPress informaba sobre tres vulnerabilidades que podrí­an permitir realizar ataques de cross-site scripting, exponer información o posibilitar la realización de inyección SQL. Pero realmente esta versión también corregí­a una grave vulnerabilidad en WordPress 4.7 y 4.7.1 que puede permitir a cualquier atacante elevar sus privilegios y modificar el contenido de cualquier publicación o página de un sitio WordPress.

En su último anuncio WordPress confirma que cree en la transparencia y la divulgación de los problemas de seguridad. No a la seguridad por oscuridad. Pero en este caso, afirma que retrasó intencionadamente el anunció de esta vulnerabilidad una semana para garantizar la seguridad de sus usuarios, y dar tiempo a la actualización.

wordpress.png

El problema, que fue descubierto por Sucuri y reportado a WordPress de forma responsable, reside en la API REST. El propio equipo de Securi afirma que el equipo de seguridad de WordPress lo gestionó "extremadamente bien". También confirma que la misma versión 4.7.2 incluye la corrección de otros problemas menos graves.

Securi ha publicado los detalles técnicos del problema que mediante el enví­o de una petición especí­ficamente manipulada cualquier atacante puede modificar el contenido de una publicación en el sitio web. Tras ello, incluso puede añadir algún pequeño código especí­fico para un plugin para explotar otros fallos que normalmente están restringidos a usuarios con privilegios. Un atacante podrá emplear el compromiso para spam SEO, inyectar anuncios o incluso ejecutar código php. Todo dependerá de los plugins habilitados.

También hay que señalar que debido a la forma en que fue comunicado y corregido, no hay ninguna evidencia de que la vulnerabilidad haya sido aprovechada en ataques reales.

Sin duda este anuncio vuelve a abrir un interesante debate sobre los problemas que deben ser anunciados y como debe realizarse la divulgación de los mismos.

En conclusión, si no se tienen activadas las actualizaciones automáticas en WordPress se recomienda la actualización a la versión 4.7.2 tan pronto sea posible, disponible desde:
https://wordpress.org/download/

O bien desde el dashboard, Actualizaciones (Updates), Actualizar Ahora (Update Now). Los sitios que soporten actualizaciones automáticas ya deben estar actualizados a la versión 4.7.2 que soluciona el problema.


Fuente: hispasec.com


pie.png

CERT-PY | Centro de Respuestas a Incidentes Cibernéticos
Ministerio de Tencnologí­as de la Información y Comunicación (MITIC)

Avda. Gral. Santos c/ Concordia | Telefono: (595 21) 217-9000
República del Paraguay

80x15.png

Versión del Template 1.11