Millones de sitios de WordPress se actualizan a la fuerza para corregir errores críticos de complementos

imágenes falsas

Millones de sitios de WordPress recibieron una actualización forzada durante el último día para corregir una vulnerabilidad crítica en un complemento llamado UpdraftPlus.

El parche obligatorio se produjo a pedido de los desarrolladores de UpdraftPlus debido a la gravedad de la vulnerabilidad, que permite a los suscriptores, clientes y otras personas no confiables descargar la base de datos privada del sitio siempre que tengan una cuenta en el sitio vulnerable. Las bases de datos a menudo contienen información confidencial sobre los clientes o la configuración de seguridad del sitio web, lo que deja a millones de sitios web vulnerables a violaciones de datos graves que filtran contraseñas, nombres de usuario, direcciones IP y más.

Malos resultados, fácil de explotar

UpdraftPlus simplifica el proceso de copia de seguridad y restauración de bases de datos de sitios web y es el complemento de copia de seguridad programada más utilizado en la web para el sistema de administración de contenido de WordPress. Optimiza la copia de seguridad de datos en Dropbox, Google Drive, Amazon S3 y otros servicios en la nube. Sus desarrolladores dicen que también permite a los usuarios programar copias de seguridad periódicas y es más rápido y utiliza menos recursos del servidor que los complementos de WordPress de la competencia.

«Esta falla es bastante fácil de explotar, con algunos resultados muy pobres cuando se explota», dijo Marc Montpas, el investigador de seguridad que descubrió la vulnerabilidad y la informó de forma privada a los desarrolladores de complementos. “Permitía a los usuarios con pocos privilegios descargar las copias de seguridad de un sitio, que incluyen copias de seguridad de bases de datos sin procesar. Las cuentas con privilegios bajos pueden significar muchas cosas. Suscriptores habituales, clientes (por ejemplo, en sitios de comercio electrónico), etc.

Montpas, investigador de la firma de seguridad de sitios web Jetpack Scan, dijo que encontró la vulnerabilidad durante una auditoría de seguridad del complemento y compartió detalles con los desarrolladores de UpdraftPlus el martes. Un día después, los desarrolladores publicaron una solución y acordaron forzar la instalación en los sitios de WordPress que tenían instalado el complemento.

Las estadísticas proporcionadas por WordPress.org muestran que 1,7 millones de sitios web recibieron la actualización hasta el jueves, y más de otros 287 000 la tenían instalada en el momento de la publicación. Según WordPress, el complemento tiene más de 3 millones de usuarios.

Al revelar la vulnerabilidad el jueves, UpdraftPlus escribió:

Este error permite que cualquier usuario que haya iniciado sesión en una instalación de WordPress con UpdraftPlus activo ejerza el privilegio de descargar una copia de seguridad existente, un privilegio que debería haberse reservado solo para usuarios administrativos. Esto fue posible debido a la falta de verificación de permisos en el código relacionado con la verificación del estado actual de la copia de seguridad. Esto permitió obtener un identificador interno, desconocido de otro modo, que luego podría usarse para pasar una verificación de permiso de descarga.

Esto significa que si su sitio de WordPress permite que los usuarios que no son de confianza tengan un inicio de sesión de WordPress y tiene una copia de seguridad existente, puede ser vulnerable a que un usuario experto en tecnología descubra cómo descargar la copia de seguridad existente. Los sitios afectados corren el riesgo de pérdida o robo de datos si el atacante accede a una copia de la copia de seguridad de su sitio si su sitio contiene algo que no es público. Digo «técnicamente inteligente» porque en este momento no se ha proporcionado ninguna prueba pública sobre cómo explotar este exploit. En este punto, depende de un pirata informático para realizar ingeniería inversa de los cambios en la última versión de UpdraftPlus para desarrollarlo. Sin embargo, definitivamente no debe contar con que esto llevará mucho tiempo, sino que actualice de inmediato. Si usted es el único usuario en su sitio de WordPress, o si todos sus usuarios son de confianza, entonces no es vulnerable, pero le recomendamos que actualice de todos modos.

DEJA UNA RESPUESTA

Por favor ingrese su comentario!
Por favor ingrese su nombre aquí