Fresh WordPress Vulnerability in Attackers’ Crosshairs

Según la ad­ver­ten­cia de De­fiant, los ci­ber­de­lin­cuen­tes co­men­za­ron a apro­ve­char un fallo grave de se­gu­ri­dad en Word­Press poco tiem­po des­pués de que se lan­za­ran los par­ches co­rres­pon­dien­tes. Este pro­ble­ma de alta gra­ve­dad afec­ta el pro­ce­di­mien­to de ac­tua­li­za­ción del sis­te­ma y puede ser uti­li­za­do para la eje­cu­ción re­mo­ta de có­di­go sin ne­ce­si­dad de au­ten­ti­ca­ción, aun­que pre­sen­ta una com­ple­ji­dad de ata­que ele­va­da y aún no cuen­ta con un iden­ti­fi­ca­dor CVE asig­na­do.

La vul­ne­ra­bi­li­dad se ori­gi­na en rutas de pre­pa­ra­ción que son pre­vi­si­bles y ac­ce­si­bles me­dian­te la web du­ran­te las ac­tua­li­za­cio­nes, per­mi­tien­do que ar­chi­vos nue­vos se des­em­pa­que­ten en di­rec­to­rios pre­de­ci­bles en nu­me­ro­sos ser­vi­do­res. Para lo­grar el ata­que, se re­quie­re una ac­tua­li­za­ción de pa­que­te com­ple­to que in­clu­ya ar­chi­vos de ins­ta­la­ción, ac­ce­so web y PHP al árbol de pre­pa­ra­ción, ade­más de con­tar con el tiem­po su­fi­cien­te para fi­na­li­zar la in­tru­sión antes de que los ar­chi­vos tem­po­ra­les sean eli­mi­na­dos.

Los datos de te­le­me­tría de Word­fen­ce re­fle­jan que los ata­can­tes ya rea­li­zan pe­ti­cio­nes de forma con­ti­nua a las rutas vul­ne­ra­bles para apro­ve­char la breve ven­ta­na de tiem­po dis­po­ni­ble, re­gis­tran­do miles de so­li­ci­tu­des di­ri­gi­das a esas rutas en el trans­cur­so de las pri­me­ras horas tras la im­ple­men­ta­ción de re­glas de fi­re­wall. Hasta el mo­men­to, no se han re­por­ta­do com­pro­mi­sos exi­to­sos como re­sul­ta­do de esta ac­ti­vi­dad.

Las co­rrec­cio­nes para este de­fec­to de se­gu­ri­dad for­man parte de la ver­sión del sis­te­ma y se apli­ca­ron tam­bién en ver­sio­nes an­te­rio­res. Asi­mis­mo, la ac­tua­li­za­ción in­clu­ye so­lu­cio­nes para otros pro­ble­mas de se­gu­ri­dad, como fa­llos de tipo XSS, in­con­ve­nien­tes en la API de in­ter­ac­ti­vi­dad, una vul­ne­ra­bi­li­dad de di­vul­ga­ción de in­for­ma­ción sin au­ten­ti­ca­ción y un fallo de au­to­ri­za­ción, ade­más de ac­tua­li­zar los cer­ti­fi­ca­dos raíz in­te­gra­dos.