Un informático en el lado del mal: Actualiza WordPress: Dos plugins muy populares con fallos graves de seguridad

El mundo de las plataformas WordPress es muy dinámico a la par que interesante. Es el mayor CMS (Content Management System) desplegado en el mundo, el que mayor cuota de mercado tiene y, sin duda, es uno de los más investigados en busca de fallos de seguridad y es, además, el más atacado por los cibercriminales. En esta ocasión investigadores han descubierto vulnerabilidades que afectan a dos plugins de WordPress bastante populares.

Figura 1: Actualiza WordPress: Dos plugins muy populares con fallos graves de seguridad

Los plugins pertenecen a un editor/propietario llamado Revmak. El primer plugin a tratar es el de InfiniteWP, el cual permite a los administradores poder gestionar múltiples sitios de WordPress con una sola interfaz. Es útil para aquellos que tienen que administrar diferentes sitios. El segundo plugin es WP Time Capsule que, como no puede ser de otra forma, es una herramienta para llevar a cabo copias de seguridad y organizar sitios. Estos plugins están siendo utilizados entre 300.000 y 500.000 sitios para InifinteWP - se hace difícil calcular los entornos de Intranet - y unos 20.000 o más para WP Time Capsule.

Figura 2: Módulos del proceso de análisis de vulnerabilidades en plugins de WordPress

Esto nos recuerda al trabajo que hicimos en Ideas Locas hace unos años donde se analizaba el código fuente de una gran cantidad de plugins y se analizaba el código en busca de vulnerabilidades. Este trabajo viene derivado de uno más antiguo, del cual salió un script llamado OSB-Rastreator. Se encontraron plugins con vulnerabilidad que estaban desplegados en una gran cantidad de sitios con WordPress, por lo que como se puede ver es algo parecido a lo que ha sucedido.

Figura 3: Flujo de ejecución de los subsistemas de análisis de bugs en plugins de WordPress

El resultado, después del proceso que hicimos con todos los plugins públicos oficiales, para recordarlo fue el siguiente que podéis ver en la tabla, donde varios muy populares tenían bugs que se pudieron descubrir con nuestro motor de análisis.

Figura 4: Principales 0-days descubiertos en plugins WP en el proceso de análisis

A continuación, puedes ver los diferentes papers en lo relacionado con esto último que he comentado. Tanto la detección de vulnerabilidades por el uso de funciones inseguras como la detección de vulnerabilidades en plugins de WordPress con diferentes técnicas analizando el código.

Figura 5: Detección y estimación de vulnerabilidades en plugins de WordPress

Figura 6: Detección de funciones inseguras en repositorios de software libre

Lo importante aquí es que se debe actualizar lo antes posible si tienes estos plugins de WordPress. ¿Por qué? Según la empresa que informó de todo esto, indicó que un atacante puede acceder a las cuentas de administrador sin uso de la contraseña.

El bypass de InfiniteWP se encontró en la función iwp_mmb_set_request, la cual es utilizada para comprobar si el usuario está intentando una acción autorizada. Dos métodos que lo hacen son readd_site y add_site, pero ninguna de éstas implementa una comprobación de autorización, por lo que un atacante puede crear una petición maliciosa. ¿Cómo? Solamente sabiendo el nombre del usuario del administrador - y si no has fortificado tu WordPress enumerar usuarios no es muy complicado -. Una vez se realiza la petición con el parámetro adecuado, se valida y se accede como usuario administrador. Fácil y sencillo.

Figura 7: Libro "Máxima Seguridad en WordPress" de 0xWord
para aprender a Fortificar plataformas WordPress

En el plugin WP Time Capsule puede que el fallo sea aún más sencillo. El resultado es muy similar. Lo único que el atacante hace es incluir la cadena de texto IWP_JSON_PREFIX en la petición enviada al servidor. Más fácil aún. No hace falta conocer el nombre del usuario administrador.

Como he comentado anteriormente, hay que actualizar rápidamente, ya que el desarrollador parcheó el problema al día siguiente de aparecer la vulnerabilidad. Todas las versiones de InifiniteWP son vulnerables hasta la 1.9.4.4. La 1.9.4.5 ya no lo es. En el caso de WP Time Capsule todas las versiones hasta la 1.21.15 son vulnerables, mientras que la 1.21.16 ya no lo es.

Foritificar WordPress: Faast for Wordpress, WordPress in Paranoid Mode

Como ya sabéis, hace tiempo que en ElevenPaths se lanzó una versión especial de Faast - nuestro servicio de Pentesting Persistente, para dominios con plataformas WordPress al que llamamos Faast For WordPress y del que hablamos por aquí en el blog en el artículo titulado: "Faast for WP: Pentesting as a Self Service para tu WordPress".

Figura 8: Faast por WordPress
Después, si quieres tener un entorno bien fortificado, lo mejor es que leas el libro de "Máxima Seguridad en WordPress" de Daniel Maldonado, al que puedes preguntar cualquier duda a través de su buzón público en MyPublicInbox.