Millones de sitios de WordPress reciben actualizaciones forzadas para corregir errores críticos de complementos

Millones de sitios de WordPress han recibido una actualización forzada en el último día para corregir una vulnerabilidad crítica en una extensión llamada UpdraftPlus.

El parche obligatorio se produjo a pedido de los desarrolladores de UpdraftPlus debido a la gravedad de la vulnerabilidad, que permite a los suscriptores, clientes y otras personas que no son de confianza cargar una base de datos privada en el sitio siempre que tengan una cuenta en el sitio vulnerable. Las bases de datos a menudo contienen información confidencial sobre los clientes o la configuración de seguridad del sitio, lo que deja a millones de sitios vulnerables a violaciones graves de datos que difunden contraseñas, nombres de usuario, direcciones IP y más.

Malos resultados, fácil de aprovechar

UpdraftPlus simplifica la copia de seguridad y la restauración de bases de datos de sitios web y es la extensión de copia de seguridad programada más utilizada para el sistema de administración de contenido de WordPress en Internet. Agiliza la copia de seguridad de datos en Dropbox, Google Drive, Amazon S3 y otros servicios en la nube. Sus desarrolladores dicen que también permite a los usuarios programar copias de seguridad periódicas y es más rápido y utiliza menos recursos del servidor que los complementos de WordPress de la competencia.

“Este error es bastante fácil de explotar y tiene muy malos resultados si se explota”, dijo Marc Montpas, un investigador de seguridad que descubrió la vulnerabilidad y la informó en privado a los desarrolladores de la extensión. “Permitió a los usuarios con derechos menores descargar desde un sitio que contiene copias de seguridad de la base de datos sin procesar. Las cuentas mal utilizadas pueden significar muchas cosas. Suscriptores ordinarios, clientes (por ejemplo, en sitios de comercio electrónico), etc.

Montpas, investigador de una empresa de seguridad de sitios web Escaneo Jetpack, dijo que encontró una extensión de la vulnerabilidad durante el análisis de seguridad y proporcionó la información a los desarrolladores de UpdraftPlus el martes. Un día después, los desarrolladores publicaron la solución y acordaron instalarla en los sitios de WordPress donde se instaló el complemento.

Estadísticas proporcionadas por WordPress.org show que 1,7 millones de sitios recibieron la actualización el jueves y más de 287.000 la habían instalado al cierre de esta edición. WordPress dice que el complemento tiene más de 3 millones de usuarios.

Al exponer la vulnerabilidad el jueves, UpdraftPlus escribió:

Esta vulnerabilidad permite que cualquier usuario que haya iniciado sesión en una instalación de UpdraftPlus con UpdraftPlus use el derecho para descargar una copia de seguridad existente. Este derecho debería haberse restringido solo a los administradores. Esto fue posible porque al código para verificar el estado actual de la copia de seguridad le faltaban permisos. Esto hizo posible obtener un identificador interno que de otro modo sería desconocido y que luego podría usarse para pasar la verificación de la autorización de descarga.

Esto significa que si su sitio de WordPress permite que usuarios no confiables accedan a su inicio de sesión de WordPress, y si tiene una copia de seguridad, puede estar expuesto a que un usuario con conocimientos técnicos intente descargar una copia de seguridad existente. Los sitios afectados corren el riesgo de pérdida o robo de datos si un atacante usa una copia de la copia de seguridad de su sitio si su sitio contiene algo que no es público. Digo ‘técnicamente inteligente’ porque no había evidencia pública en el momento de que esta explotación estaba siendo explotada. Actualmente, confía en que el hacker planifique los cambios en la última versión de UpdraftPlus para resolverlo. Sin embargo, no debe confiar en que esto llevará mucho tiempo, deberá actualizar de inmediato. Si usted es el único usuario en su sitio de WordPress, o si todos sus usuarios son de confianza, no es vulnerable, pero le recomendamos que actualice de todos modos.