NoticiasSeguridad

WordPress 4.8.3 corrige la vulnerabilidad crítica de SQL Injection

El 31 de octubre, la plataforma de blogging y administración de contenido (CMS) WordPress, de código abierto, lanzó su actualización 4.8.3, reparando una alarmante vulnerabilidad de seguridad de SQL Injection que permaneció abierta durante semanas.

“Las versiones de WordPress 4.8.2 y anteriores se ven afectadas por un problema donde $ wpdb-> prepare () puede crear consultas inesperadas e inseguras que conducen a una posible inyección SQL (SQLi)”, escribió el desarrollador de WordPress Gary Pendergast en el anuncio de la publicación. “El núcleo de WordPress no es directamente vulnerable a este problema, pero hemos reforzado para evitar que los complementos y temas causen una vulnerabilidad accidentalmente”.

WordPress se encuentra entre las tecnologías más ampliamente implementadas en Internet en la actualidad, lo que impulsa el 25% o más de todos los sitios web de acuerdo con algunas estimaciones. La omnipresencia de WordPress hace que los problemas de seguridad sean particularmente impactantes, dado el volumen de sitios implementados.

El problema de SQLi fue reportado a WordPress por el investigador de seguridad Anthony Ferrara, quien no estaba particularmente entusiasmado con la forma en que el proyecto de código abierto manejó (o no) el problema inicialmente. Ferrara informó por primera vez sobre los problemas a WordPress el 20 de septiembre, una semana después del lanzamiento de la actualización de WordPress 4.8.2, que también incluía una solución para un problema de SQLi.

El problema con la actualización de WordPress 4.8.2 según Ferrara, fue que la solución realmente presentaba nuevos problemas de seguridad para los complementos de WordPress.

“Están ignorando el nuevo potencial SQLi, y se niegan a comprometerse en la forma correcta de solucionar el problema original”, escribió Ferrara en una declaración de Twitter el 25 de septiembre. “Se cerró el informe de vulnerabilidad, como resultado, el WPDB sigue inseguro -por- diseño y este cambio lo empeora, no mejora “.

Los desarrolladores de WordPress volvieron a Ferrara, aunque se necesitaron semanas de comunicaciones de ida y vuelta para que el problema se solucionara a través del sistema. Durante ese período de tiempo, la vulnerabilidad permaneció abierta, aunque no divulgada públicamente.

“Informes de seguridad deben ser tratados con prontitud, pero eso no significa que cada segundo cuenta (por lo general),” Ferrara escribió en un blog posterior. “Entiendo que hay prioridades contrapuestas, pero muestre atención. Demuestre que ha leído lo que está escrito. Y si alguien le dice que parece que no entiende algo, deténgase y obtenga una aclaración”.

La debilidad de seguridad en los plugins de WordPress es un conocido vector de ataque que expone a los usuarios al riesgo.

WordPress ha implementado un sistema de parches automatizado para el CMS central desde que se lanzó WordPress 3.7 en octubre de 2013. Como tal, las actualizaciones de seguridad de la plataforma central se instalan automáticamente de forma predeterminada, lo que ayuda a reducir la superficie de ataque una vez que el parche está disponible.

La preocupación de Ferrara es que WordPress no tiene suficiente personal de seguridad dedicado y de tiempo completo trabajando en o con el proyecto y, en cambio, es en gran medida un equipo compuesto por voluntarios.

“Mi humilde opinión no es que el equipo de voluntarios no esté a la altura de mis expectativas, sino que una plataforma que acciona más del 25% de Internet (o al menos Internet con CMS) no cuenta con personal de seguridad a tiempo completo”, escribió Ferrara.

Etiquetas

Related Articles

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Close