M
M4M1
Beta
Artículo terrible sobre WordPress y su seguridad. 5.000 errores de seguridad descubiertos, algunos de ellos muy críticos.
portswigger.net
terror en los usuarios des WordPress: Los investigadores descubren un enorme error de seguridad de 5.000 en plugins con errores
Inyección SQL de Vulnerabilidades de WordPress
¡El horror!
La seguridad del ecosistema de plugins de WordPress puede ser mucho peor de lo que muchos han temido, ya que nuevas investigaciones sugieren que miles de complementos para el sistema de gestión de contenido más popular del mundo son vulnerables a exploits basados en la web.
Después de realizar un análisis de 84.508 plugins de WordPress, los investigadores de seguridad españoles Jacinto Sergio Castillo Solana y Manuel García Cárdenas descubrieron más de 5.000 vulnerabilidades, incluyendo 4.500 defectos de inyección SQL (SQLi).
Muchos de los plugins analizados mostraron múltiples vulnerabilidades, que iban desde el scripting entre sitios (XSS) y la inclusión de archivos locales, así como SQLi.
Un total de 1.775 de los 84.000 plugins de WordPress analizados tenían un error de software fácilmente identificable.
"Hemos encontrado plugins con hasta 250 vulnerabilidades diferentes en el mismo plugin", dijo García a The Daily Swig. "En nuestro estudio los plugins más vulnerables son los del comercio electrónico."
Preocupaciones falsas positivas
Tim Nash, líder de la plataforma WordPress en la firma de alojamiento web y servicios 34SP.com, dio la bienvenida al trabajo de los dos investigadores de seguridad, pero expresó su preocupación por posibles falsos positivos.
"Las herramientas automatizadas son una forma increíblemente valiosa de probar vulnerabilidades, y cuando se utilizan de manera eficaz pueden ayudar a los desarrolladores a parchear de forma rápida y eficaz. Confiar exclusivamente en una herramienta automatizada para un informe de vulnerabilidad no sería mi elección de presentar un informe", dijo Nash a The Daily Swig.
"Si pasaron y miraron y confirmaron las 5.000 vulnerabilidades, entonces mi sombrero se va a ellos, de lo contrario, sospecho que hay un alto nivel de falsos positivos.
"Parece que están hablando de 1.775 plugins con más de 5.000 vulnerabilidades, así que sospecho de nuevo debido a la naturaleza automatizada que probablemente están golpeando la misma vulnerabilidad y clasificándola como nueva vulnerabilidad cada vez que se hace referencia a él", agregó.
A pesar de estos recelos, Nash aclaró que sentía que la investigación valía la pena.
"Nada de eso es quitarle los logros, o la investigación realizada – encontraron vulnerabilidades potenciales en el 2% de los plugins en el repositorio", señaló Nash, un miembro activo de las comunidades de WordPress e infosec.
Le pedimos a García que confirmara que las vulnerabilidades de WordPress descubiertas habían sido verificadas manualmente.
García respondió: "Hemos verificado algunos manualmente y diríaquen que la mayoría de ellos son vulnerables. No hemos incluido funciones que escapen a personajes especiales... Sólo hemos identificado plugins vulnerables donde los parámetros no se validan."
"Sabemos que tal vez hay falsos positivos, pero no incluimos como vulnerabilidades líneas de código con funciones de validación como esc_sql() o htmlspecialshars(), por lo que no que hay más de 5.000 vulnerabilidades potenciales, pero lo principal es que los desarrolladores no validan las inyecciones SQL."
RootedCON
Los dos investigadores españoles presentaron sus conclusiones en el congreso de ciberseguridad RootedCON en Madrid el pasado fin de semana.
El par ha desarrollado una herramienta de análisis de código llamada WordPress Terror que analizó los plugins. No hay planes inmediatos para liberar WordPress Terror a la comunidad en general, según García.
La utilidad de WordPress Terror en el descubrimiento de defectos genuinos sigue siendo indeterminada sin inspección independiente, según Nash, quien instó a los investigadores de seguridad a lanzar su herramienta a la comunidad en general.
WordPress Terror: Researchers discover a massive 5,000 security flaws in buggy plugins
The horror!
portswigger.net
terror en los usuarios des WordPress: Los investigadores descubren un enorme error de seguridad de 5.000 en plugins con errores
Inyección SQL de Vulnerabilidades de WordPress
¡El horror!
La seguridad del ecosistema de plugins de WordPress puede ser mucho peor de lo que muchos han temido, ya que nuevas investigaciones sugieren que miles de complementos para el sistema de gestión de contenido más popular del mundo son vulnerables a exploits basados en la web.
Después de realizar un análisis de 84.508 plugins de WordPress, los investigadores de seguridad españoles Jacinto Sergio Castillo Solana y Manuel García Cárdenas descubrieron más de 5.000 vulnerabilidades, incluyendo 4.500 defectos de inyección SQL (SQLi).
Muchos de los plugins analizados mostraron múltiples vulnerabilidades, que iban desde el scripting entre sitios (XSS) y la inclusión de archivos locales, así como SQLi.
Un total de 1.775 de los 84.000 plugins de WordPress analizados tenían un error de software fácilmente identificable.
"Hemos encontrado plugins con hasta 250 vulnerabilidades diferentes en el mismo plugin", dijo García a The Daily Swig. "En nuestro estudio los plugins más vulnerables son los del comercio electrónico."
Preocupaciones falsas positivas
Tim Nash, líder de la plataforma WordPress en la firma de alojamiento web y servicios 34SP.com, dio la bienvenida al trabajo de los dos investigadores de seguridad, pero expresó su preocupación por posibles falsos positivos.
"Las herramientas automatizadas son una forma increíblemente valiosa de probar vulnerabilidades, y cuando se utilizan de manera eficaz pueden ayudar a los desarrolladores a parchear de forma rápida y eficaz. Confiar exclusivamente en una herramienta automatizada para un informe de vulnerabilidad no sería mi elección de presentar un informe", dijo Nash a The Daily Swig.
"Si pasaron y miraron y confirmaron las 5.000 vulnerabilidades, entonces mi sombrero se va a ellos, de lo contrario, sospecho que hay un alto nivel de falsos positivos.
"Parece que están hablando de 1.775 plugins con más de 5.000 vulnerabilidades, así que sospecho de nuevo debido a la naturaleza automatizada que probablemente están golpeando la misma vulnerabilidad y clasificándola como nueva vulnerabilidad cada vez que se hace referencia a él", agregó.
A pesar de estos recelos, Nash aclaró que sentía que la investigación valía la pena.
"Nada de eso es quitarle los logros, o la investigación realizada – encontraron vulnerabilidades potenciales en el 2% de los plugins en el repositorio", señaló Nash, un miembro activo de las comunidades de WordPress e infosec.
Le pedimos a García que confirmara que las vulnerabilidades de WordPress descubiertas habían sido verificadas manualmente.
García respondió: "Hemos verificado algunos manualmente y diríaquen que la mayoría de ellos son vulnerables. No hemos incluido funciones que escapen a personajes especiales... Sólo hemos identificado plugins vulnerables donde los parámetros no se validan."
"Sabemos que tal vez hay falsos positivos, pero no incluimos como vulnerabilidades líneas de código con funciones de validación como esc_sql() o htmlspecialshars(), por lo que no que hay más de 5.000 vulnerabilidades potenciales, pero lo principal es que los desarrolladores no validan las inyecciones SQL."
RootedCON
Los dos investigadores españoles presentaron sus conclusiones en el congreso de ciberseguridad RootedCON en Madrid el pasado fin de semana.
El par ha desarrollado una herramienta de análisis de código llamada WordPress Terror que analizó los plugins. No hay planes inmediatos para liberar WordPress Terror a la comunidad en general, según García.
La utilidad de WordPress Terror en el descubrimiento de defectos genuinos sigue siendo indeterminada sin inspección independiente, según Nash, quien instó a los investigadores de seguridad a lanzar su herramienta a la comunidad en general.
