Error del plugin File Manager provoca vulnerabilidad a ataques en más de 500 mil páginas web

La vulnerabilidad fue encontrada en el plugin File Manager, responsable de la gestión de archivos de WordPress y usado en más de 700 mil páginas web.

fallo de plugin vulnerabilidad

    El plugin File Manager permite que el usuario realice acciones de gestión — edición, exclusión, carga, download, compactación, etc. — en todos los archivos y carpetas del CMS a partir del backend de WordPress.

    De esa manera, el plugin elimina la necesidad de usar el FTP, principalmente por usuarios que no tienen mucha familiaridad con la ejecución de acciones a partir del Protocolo de Transferencia de Archivos.

    Sin embargo, recientemente los desarrolladores padecieron un gran dolor de cabeza, relacionado a la vulnerabilidad que afligió al complemento de WordPress y que, a partir de un ataque de hackers, podría perjudicar a los miles de páginas web que tienen el plugin File Manager instalado.

    La brecha de seguridad fue identificada inicialmente por el equipo de desarrolladores de NintechNet, empresa establecida en Bangkok que relató un ataque: el hacker en cuestión subió un script nombrado hardfork.php y lo utilizó para inocular código en scripts de WordPress.

    Según el equipo de seguridad de Sucuri, la vulnerabilidad surgió en la versión 6.4 de WordPress, que a pesar de ser un blanco constante de ataques, es uno de los gestores de contenidos más utilizados — 38,3% de los sitios web, y segura para la creación de sitios, blogs y e-commerces.

    Ello es posible porque WordPress es un software de código abierto, es decir, por detrás de las actualizaciones y mejoras hay una gran comunidad de desarrolladores que, además, prueban los patches y nuevas configuraciones y relatan rápidamente cualquier bug o vulnerabilidad del software.

    En la versión 6.4, lanzada en 5 de Mayo, un archivo fue renombrado en el plugin para fines de desarrollo y testeo. No obstante, en vez de mantenerse como una alteración local, el archivo se añadió por accidente al proyecto y usado como una referencia de código.

    Esa extensión añadida al archivo fue renombrada de connector-minimal.php-dist para connector-minimal.php, un pequeño ajuste suficiente para accionar una brecha significativa en ese popular plugin.

    Como ese script del plugin File Manager concede a privilegios elevados a los usuarios para la gestión de archivos, sería suficiente que cualquier usuario no autenticado accediera directamente al camino renombrado y ejecutara comandos arbitrarios para la biblioteca, incluyendo upload y modificación de datos.

    Aunque el uso del archivo como referencia pueda haber ayudado al equipo a probar los recursos localmente, fue esa pequeña alteración que generó la vulnerabilidad.

    Esa fragilidad podría afectar un 52% de los sitios web que tienen instalado al plugin de File Manager y tienen sus actividades basadas en WordPress — lo cual representa cerca de 364 mil páginas.

    Una semana antes de que el archivo fuera eliminado, un código de Prueba de Concepto (PoC) se lanzó en GitHub y causó una ola de ataques el 31 de Agosto (el equipo de Sucuri registró cerca de 10 mil ataques cada hora en 2 de septiembre), antes de que la versión 6.9 se dispusiera y en el día anterior al lanzamiento de una versión corregida del plugin.

    Sin embargo, la solución, incluida en la versión 6.9, es bastante sencilla: basta que el usuario excluya el archivo — que nunca formó parte de la funcionalidad del plugin — y demás archivos .php-dist que no son utilizados.

    Aunque la vulnerabilidad ya se haya resuelto, es prudente que todos los usuarios actualicen el plugin para la nueva versión corregida, para proteger a la página web de ese tipo de ataque.

    Además de eso, para garantizar soporte especializado que ayude a identificar cualquier fallo que comprometa a la seguridad de tu web, conviene tener una solución de hosting específica para WordPress, como es el caso de la plataforma Stage ¡Conoce y prueba nuestra herramienta!

    Cuota
    Ivan de Souza Rock author vector
    Editor en jefe internacional de Rock Content y consultor de marketing digital, fascinado por el marketing de contenidos y admirador de la cultura japonesa.

    Suscríbete y recibe los contenidos de nuestro blog

    Recibe acceso de primera fuente a nuestras mejores publicaciones directamente en tu caja de entrada.

    Related Posts

    ¿Te gustaría recibir más contenido de altísima calidad como este y de forma totalmente gratuita?

    ¡Suscríbete para recibir nuestros contenidos por e-mail y conviértete en un miembro de la Comunidad Rock Content!

    Nuestro sitio web está optimizado para cada país en el que operamos.

    Ir al sitio web en español ->