Portada Wordpress Plugin WordPress Code Snippets con Problemas de Seguridad
Existe un problema de seguridad en el plugin Code Snippets de WordPress, bastante importante.
Dada la naturaleza del plugin y de la vulnerabilidad encontrada, un atacante podría hacer, realmente, lo que quisiera en el WordPress atacado.
Se recomienda actualizar cuanto antes a la versión 2.14.0 o superior, ya que las versiones anteriores son vulnerables y los ataques, ahora que se conoce la vulnerabilidad, parecen ser algo inminente.
Si eres uno de los 200 mil usuarios que tienen instalado este plugin, revísalo cuanto antes para evitar problemas mayores.
En la gran mayoría de los themes de WordPress, hay un archivo llamado functions.php que se encarga de añadir funciones y características extra en WordPress.
Muchos themes ya lo usan para añadir las distintas funcionalidades que el desarrollador considere oportunas, pero nosotros, los administradores de WordPress, también podemos utilizarlo… si sabemos qué estamos haciendo, claro.
Es un archivo muy importante y su mala manipulación puede acarrear problemas serios en nuestra instalación de WordPress.
Eso si, si se modifica bien se puede conseguir muchas funciones extra para WordPress, sin la necesidad de instalar plugins.
El problema puede llegar cuando tienes muchas modificaciones creadas en el archivo functions.php ya que puede ser complicado gestionarlas, activarlas o desactivarlas.
El plugin Code Snippets se encarga de solucionar esto, pudiendo crear un listado de las funciones añadidas, pudiendo también activarlas y desactivarlas con un simple deslizador.
Como puedes ver se trata de una herramienta muy interesante para los usuarios que modifiquen el archivo functions.php de manera habitual.
La vulnerabilidad detectada en el plugin Code Snippets ataca directamente al archivo functions.php, así que el problema es grave.
Como hemos visto, el plugin Code Snippets puede añadir pedazos de código en el archivo functions.php de nuestro theme de WordPress.
Debido a esto, el desarrollador del plugin intentó proteger cualquier acceso final, pero cometió un error en una de las características del plugin, la importación del plugin no tenía la misma protección CSRF (Cross Site Request Forgery).
Este problema podía ser utilizado por un atacante para crear una solicitud maliciosa con el fin de engañar al administrador de WordPress y que este lanzara una solicitud al sitio con el código malicioso del atacante.
En el código inyectado puede realizar cualquier acción, incluso crear un nuevo usuario administrador para el atacante, incluir un virus para infectar a los usuarios de la web, redirigir el sitio hacia una URL con contenido malicioso, etc…
Los ataques CSRF se basan en usar algún problema de seguridad para «engañar» a un usuario registrado con credenciales de acceso, para que realice una acción determinada, habitualmente maliciosa, que sólo el usuario registrado puede hacer.
Es decir, en lugar de intentar acceder al sitio web directamente para realizar la actividad maliciosa, aprovecha una vulnerabilidad para que el administrador, sin saberlo, lo haga por él.
Si eres uno de los muchos usuarios que tienen instalado el plugin Code Snippets, debes actualizarlo lo antes posible.
Solo con actualizar a la versión 2.14.0, estarás protegido de esta vulnerabilidad y no te afectará.
Como ya ha salido a la luz y es una vulnerabilidad relativamente sencilla de explotar, se esperan multitud de intentos de ataques, ya que la recompensa es muy alta y cuentan con que muchos administradores no sabrán del problema y nos tendrán actulizado el plugin.
Por eso, lo más importante es actualizar el plugin lo antes posible para evitar lamentos en el futuro.
Más info aquí (en inglés)