La vulnerabilidad de WordPress alcanza +1 millón usando el complemento de encabezado y pie de página
La advertencia de vulnerabilidad se publicó en la base de datos nacional de vulnerabilidad (NVD) del gobierno de EE. UU.
Inserción de encabezados y pies de página
El complemento WPCode (anteriormente conocido como Insertar encabezados y pies de página por WPBeginner), es un complemento popular que permite a los editores de WordPress agregar fragmentos de código al área del encabezado y pie de página.
Esto es útil para los editores que necesitan agregar el código de verificación del sitio de Google Search Console, el código CSS, los datos estructurados o incluso el código de AdSense, prácticamente cualquier cosa que pertenezca al encabezado o pie de página de un sitio web.
Vulnerabilidad de falsificación de solicitudes entre sitios (CSRF)
El complemento WPCode: insertar encabezados y pies de página anterior a la versión 2.0.9 contiene lo que se ha identificado como una vulnerabilidad de falsificación de solicitud entre sitios (CSRF).
Un ataque CSRF consiste en engañar a un usuario final registrado en el sitio de WordPress para que haga clic en un enlace que realiza una acción no deseada.
El atacante se basa esencialmente en las credenciales del usuario registrado para realizar acciones en el sitio donde está registrado el usuario.
Cuando un usuario de WordPress que ha iniciado sesión hace clic en un enlace que contiene una solicitud maliciosa, el sitio se ve obligado a ejecutar la solicitud porque utiliza un navegador con cookies que identifica correctamente al usuario que ha iniciado sesión.
Es la acción maliciosa que el usuario registrado realiza sin saberlo y en la que confía el atacante.
La organización sin fines de lucro Open Worldwide Application Security Project (OWASP) describe una vulnerabilidad CSRF:
“La falsificación de solicitud entre sitios (CSRF) es un ataque que obliga a un usuario final a realizar acciones no deseadas en una aplicación web en la que está autenticado actualmente.
Con un poco de ayuda de la ingeniería social (como enviar un enlace por correo electrónico o chat), un atacante puede engañar a los usuarios de una aplicación web para que realicen las acciones que elijan.
Si la víctima es un usuario normal, un ataque CSRF exitoso puede obligar al usuario a realizar solicitudes de cambio de estado, como transferir fondos, cambiar su dirección de correo electrónico, etc.
Si la víctima es una cuenta administrativa, CSRF puede comprometer toda la aplicación web.
El sitio web Common Weakness Enumeration (CWE), patrocinado por el Departamento de Seguridad Nacional de los Estados Unidos, ofrece una definición de este tipo de CSRF:
«La aplicación web no verifica o no puede verificar suficientemente si el usuario que envió la solicitud proporcionó intencionalmente una solicitud bien formada, válida y consistente.
…cuando un servidor web está diseñado para recibir una solicitud de un cliente sin ningún mecanismo para verificar que se envió intencionalmente, es posible que un atacante engañe a un cliente para que realice una solicitud no intencionada al servidor web que será tratada como una solicitud genuina.
Esto se puede hacer a través de URL, carga de imágenes, XMLHttpRequest, etc. y puede resultar en la exposición de datos o la ejecución de código no deseados.
En este caso particular, las acciones no deseadas se limitan a eliminar los archivos de registro.
La Base de Datos Nacional de Vulnerabilidad publicó los detalles de la vulnerabilidad:
“El complemento de WordPress de WPCode anterior a 2.0.9 tiene CSRF defectuoso al eliminar el registro y no garantiza que el archivo que se eliminará esté en la carpeta esperada.
Esto podría permitir a los atacantes hacer que los usuarios con la capacidad wpcode_activate_snippets eliminen archivos de registro arbitrarios en el servidor, incluso fuera de las carpetas del blog.
El sitio web de WPScan (propiedad de Automattic) ha publicado una prueba de concepto para la vulnerabilidad.
Una prueba de concepto, en este contexto, es un código que verifica y demuestra que una vulnerabilidad puede funcionar.
Aquí está la prueba de concepto:
"Make a logged in user with the wpcode_activate_snippets capability open the URL below https://example.com/wp-admin/admin.php?page=wpcode-tools&view=logs&wpcode_action=delete_log&log=../../delete-me.log This will make them delete the ~/wp-content/delete-me.log"
Segunda vulnerabilidad para 2023
Esta es la segunda vulnerabilidad descubierta en 2023 para el complemento WPCode Insert Headers and Footers.
En febrero de 2023 se descubrió otra vulnerabilidad que afectaba a las versiones 2.0.6 o anteriores, que la firma de seguridad Wordfence WordPress describió como una «Falta el permiso para la divulgación/actualización de claves confidenciales».
Según el informe de vulnerabilidad de NVD, la vulnerabilidad también afectó a las versiones hasta la 2.0.7.
El NVD advirtió sobre la vulnerabilidad anterior:
«El complemento de WordPress WPCode anterior a 2.0.7 no tiene comprobaciones de privilegios adecuadas para varias acciones de AJAX, solo verifica el nonce.
Esto puede conducir a permitir que cualquier usuario autenticado que pueda editar publicaciones llame a los puntos finales relacionados con la autenticación de la biblioteca WPCode (como actualizar y eliminar la clave de autenticación).
WPCode lanzó un parche de seguridad
El registro de cambios para el complemento de WordPress WPCode – Insertar encabezados y pies de página señala de manera responsable que solucionaron un problema de seguridad.
Una notación de registro de cambios para la actualización 2.0.9 dice:
«Corrección: refuerzo de la seguridad para eliminar registros».
La notación del registro de cambios es importante porque alerta a los usuarios del complemento sobre el contenido de la actualización y les permite tomar una decisión informada sobre si continuar con la actualización o esperar a la siguiente.
WPCode actuó de manera responsable respondiendo al descubrimiento de la vulnerabilidad de manera oportuna y también anotando el parche de seguridad en el registro de cambios.
Acciones recomendadas
Se recomienda a los usuarios del complemento WPCode: insertar encabezados y pies de página que actualicen su complemento al menos a la versión 2.0.9.
La última versión del complemento es 2.0.10.
Lea sobre la vulnerabilidad en el sitio web de NVD:
CVE-2023-1624 Detalle
La entrada La vulnerabilidad de WordPress alcanza +1 millón usando el complemento de encabezado y pie de página se publicó primero en Seo Con SEM.
source https://seoconsem.es/2023/05/01/la-vulnerabilidad-de-wordpress-alcanza-1-millon-usando-el-complemento-de-encabezado-y-pie-de-pagina/
Comentarios
Publicar un comentario