Exclusivo: si no ha actualizado su sitio web a la última versión de WordPress 5.0.3, es una idea brillante actualizar el software de administración de contenido de su sitio ahora. A partir de ahora, quiero decir inmediatamente.

Los investigadores de ciberseguridad de RIPS Technologies GmbH compartieron hoy su última investigación con The Hacker News, revelando la existencia de una vulnerabilidad crítica de ejecución remota de código que afecta a todas las versiones anteriores del software de administración de contenido de WordPress lanzadas en los últimos 6 años.

El ataque de ejecución remota de código, descubierto e informado al equipo de seguridad de WordPress a fines del año pasado, puede ser explotado por un atacante con privilegios bajos con al menos una cuenta de «autor» usando una combinación de dos vulnerabilidades separadas: Path Traversal e Inclusión de archivos locales, que residir en el núcleo de WordPress.

El requisito de al menos una cuenta de autor reduce en cierta medida la gravedad de esta vulnerabilidad, que podría ser aprovechada por un colaborador de contenido deshonesto o un atacante que de alguna manera logra obtener la credencial de autor mediante phishing, reutilización de contraseñas u otros ataques.

«Un atacante que obtiene acceso a una cuenta con al menos privilegios de autor en un sitio objetivo de WordPress puede ejecutar código PHP arbitrario en el servidor subyacente, lo que lleva a una toma de control remota completa», dice Scannell.

Demostración en video: así es como funciona el ataque

Según Simon Scannell, investigador de RIPS Technologies GmbH, el ataque aprovecha la forma en que el sistema de administración de imágenes de WordPress maneja las entradas Post Meta utilizadas para almacenar la descripción, el tamaño, el creador y otra metainformación de las imágenes cargadas.

Scannell descubrió que una cuenta de autor no autorizada o comprometida puede modificar cualquier entrada asociada con una imagen y establecerla en valores arbitrarios, lo que lleva a la vulnerabilidad Path Traversal.

«La idea es establecer _wp_attached_file en evil.jpg? Shell.php, lo que conduciría a que se realice una solicitud HTTP a la siguiente URL: https://targetserver.com/wp-content/uploads/evil.jpg?shell. php», explica Scannell.

Y, «todavía es posible plantar la imagen resultante en cualquier directorio utilizando una carga útil como evil.jpg? /../../ evil.jpg».

La falla de Path Traversal en combinación con una falla de inclusión de archivos locales en el directorio de temas podría permitir que el atacante ejecute código arbitrario en el servidor de destino.

El ataque, como se muestra en el video de prueba de concepto compartido por el investigador, se puede ejecutar en segundos para obtener un control completo sobre un blog de WordPress vulnerable.

Según Scannell, el ataque de ejecución de código dejó de ser explotable en las versiones de WordPress 5.0.1 y 4.9.9 después de que se introdujo un parche para otra vulnerabilidad que impedía que los usuarios no autorizados establecieran entradas Post Meta arbitrarias.

Sin embargo, la falla de Path Traversal aún no está parcheada incluso en la última versión de WordPress y puede explotarse si algún complemento de terceros instalado maneja incorrectamente las entradas Post Meta.

Scannell confirmó que la próxima versión de WordPress incluiría una solución para abordar por completo el problema demostrado por el investigador.