WordPress 4.9.7 Actualización de Seguridad – Los Autores podían Hacerse con el Control de WordPress

Categorias: Wordpress

WordPress 4.9.7 Actualización de Seguridad - El Perfil “Autor” podía Hacerse con el Control

Las actualizaciones en WordPress son algo muy habituales, tanto que ya no llaman la atención cuando llega una.

Por lo general, se añaden nuevas funcionalidades, se arreglan algunos errores que se han detectado y no menos importante, se solucionan errores de seguridad.

La versión de WordPress 4.9.6, que era la última estable disponible y la que estaría instalada en la mayoría de las instalaciones de WordPress, tenía un problema de seguridad importante que podía afectar a todos las instalaciones que usaran los perfiles de Autor o superior.

Por lo general, los distintos perfiles en WordPress se utilizan cuando varias personas escriben artículos o suben contenido a WordPress.

Si únicamente hay un administrador que se encarga de todo en una instalación de WordPress, estas funciones no se suelen activar y por lo tanto, esta vulnerabilidad no les afectaría.

No obstante, muchos sitios basados en WordPress necesitan de estos roles para generar los contenidos del sitio web y esta vulnerabilidad ha estado activa durante 7 meses, aunque se dio a conocer el 26/06/2018, así que es muy recomendable actualizar cuanto antes.


Autores y otros Perfiles con Privilegios, la Base de la Vulnerabilidad

En WordPress, es muy común que los usuarios se puedan registrar, ya sea para obtener beneficios, poder escribir comentarios, etc…

Cuando un usuario se registra en WordPress, por defecto se le otorga el perfil de Suscriptor.

Con este perfil pueden loguearse con su nombre de usuario y contraseña. Pueden acceder a zonas restringidas para usuarios no registrados, escribir y contestar comentarios y poco más.

El administrador de un sitio WordPress, puede cambiar el perfil de cualquier usuario registrado de una forma muy sencilla:

Autores y otros Perfiles con Privilegios, la Base de la Vulnerabilidad

Por ejemplo, un Colaborador puede escribir artículos en WordPress, pero no publicarlos, un editor o el administrador debe aprobarlos.

En cambio, un perfil de Autor si que permite publicar sus artículos directamente, pero nada más y por encima de este estaría el Editor que puede hacer lo que quiera con los artículos del resto de usuarios, pero no puede administrar WordPress, ni añadir plugins, ni modificar themes etc…, de esto se encarga el Administrador.

El problema de la versión 4.9.6 de WordPress, es que un atacante con el perfil de Autor, podía eliminar cualquier archivo de WordPress.

Por ejemplo, podía eliminar el archivo wp-config, de este modo volvería a empezar el proceso de instalación de WordPress, que el atacante podía realizar con sus datos para hacerse con la administración del sitio.

También podía eliminar el archivo .htaccess, en el que pueden existir restricciones de seguridad que, al eliminar el archivo, son eliminadas y darle acceso al atacante a zonas restringidas para él o ejecutar código malicioso en el sitio.

En cualquier caso, la imaginación del atacante sería el límite y lo más preocupante es que no necesitaría averiguar la forma de entrar en WordPress, ya que al tener el perfil de Autor, entraría con su usuario y contraseña sin ningún problema.

Como hemos comentado antes, no es lo más habitual usar cientos de Autores en WordPress, aunque en sitios muy grandes donde escriben mucho contenido a diario, los Autores son imprescindibles.

Cuando un administrador le otorga el perfil de Autor a un usuario, generalmente se fía de él, pero lo peor que puede hacer es publicar algo inapropiado.

No puede modificar otros artículos de otros autores, ni puede eliminar o aprobar otros artículos, por lo que su capacidad de acción está limitada.

Además, si un WordPress tiene muchos perfiles de Autor suelen tener también Editores que se encarguen de controlar todo el contenido, aunque bueno, los usuarios con el perfil de Editor también podían utilizar esta vulnerabilidad, así que no parece una solución.

Autores y editores en WordPress con privilegios que no deberían la Base de la Vulnerabilidad


Actualizar WordPress a la Versión 4.9.7

La actualización de WordPress 4.9.7 es una actualización menor, por lo que es posible que se actualice de manera automática, al menos que no se tengan activadas las actualizaciones automáticas.

En caso de no hacerlo es muy recomendable actualizar y totalmente imprescindible si se hace uso de los perfiles de Autor, Editor, etc…

Como siempre, antes de actualizar es recomendable disponer de una copia de seguridad reciente, por lo que pueda pasar.


Hosting WordPress SSD con Seguridad anti Malware en Hostinet

En Hostinet tenemos muy en cuenta la seguridad de nuestros hosting. En los hosting WordPress SSD que ofrecemos a nuestros clientes, tienen incorporada una protección anti Malware.

En el caso de que algún Autor hubiese utilizado esta vulnerabilidad de WordPress para inyectar código malicioso, nuestro sistema lo detectaría, aislaría los archivos infectados y avisaría al cliente para que pudiera remediarlo, ¡como si fuera un antivirus!

Además, los planes de hosting WordPress disponen de muchas otras características interesantes, como el soporte técnico avanzado en WordPress, panel de control cPanel, certificados SSL gratuitos, etc…

  • HostingWordPress 12´00 / mes
  • Hosting especializado en WordPress con discos SSDWordPress 107´99 / mes
  • Hosting especializado en WordPress con discos SSDWordPress 5011´99 / mes
  • Hosting especializado en WordPress con discos SSDWordPress 7513´99 / mes
  • HostingWordPress 12´00/mes
  • Hosting especializado en WordPress con discos SSDWordPress 107´99/mes
  • Hosting especializado en WordPress con discos SSDWordPress 5011´99/mes
  • Hosting especializado en WordPress con discos SSDWordPress 7513´99/mes
    • Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.
    • Almacenamiento en disco duro ultra rápido SSDAlmacenamiento en disco duro ultra rápido SSDAlmacenamiento en disco duro ultra rápido SSDAlmacenamiento en disco duro ultra rápido SSDAlmacenamiento en disco duro ultra rápido SSDAlmacenamiento en disco duro ultra rápido SSD
    • El espacio en disco es la suma del espacio que ocupan los archivos que forman la web y el correo electrónico.
    • La transferencia de datos mensual es la cantidad total de información que se descargan los visitantes de nuestra web en cada acceso más nuestro uso a través de FTP y correo.
    • Ideado para sacar el máximo partido a tu WordPress
    • Aumenta la velocidad de tu web + Info
    • Tras evaluación de nuestro equipo de migraciones
    • Te ayudamos vía email y teléfono en todas tus consultas sobre hosting web
    • Elige la versión de PHP que necesites
    • Certificado SSL autofirmadoCertificados Let's Encrypt. Mas Información AQUICertificados Let's Encrypt. Mas Información AQUICertificados Let's Encrypt. Mas Información AQUICertificados Let's Encrypt. Mas Información AQUICertificados Let's Encrypt. Mas Información AQUI
    • Contrata tu hosting web y consigue dominios gratisUna vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.
    • Migramos tu web de tu actual host a HostinetMigramos tu web de tu actual host a HostinetMigramos tu web de tu actual host a HostinetMigramos tu web de tu actual host a HostinetMigramos tu web de tu actual host a Hostinet
    • Ideado para sacar el máximo partido a tu WordPress
    • Te ayudamos vía email y teléfono en todas tus consultas sobre hosting web
    • Hosting específicamente preparado para sacar el máximo rendimiento a tu Wordpress
    • Contrata tu hosting web y consigue dominios gratisUna vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.
    • Cada dominio alojado muestra un contenido único y diferente del resto
    • Aparcando un dominio secundario en el alojamiento de nuestro dominio principal conseguimos que ambos dominios resuelvan indistintamente con la misma página que tenemos colgada.
    • Cuentas de correo gestionables a través de POP, IMAP y servicio Webmail
    • Tus buzones de correo y mails limpios de virus y con un potente filtro antispam
    • Centro de datos en Madrid (España)
    • Opción de contratación de IP dedicadaPuedes contratar tu Ip dedicada por solo 11.95 € al año AQUIPuedes contratar tu Ip dedicada por solo 11.95 € al año AQUIPuedes contratar tu Ip dedicada por solo 11.95 € al año AQUIPuedes contratar tu Ip dedicada por solo 11.95 € al año AQUIPuedes contratar tu Ip dedicada por solo 11.95 € al año AQUI
    • Opción de contratación de certificados SSL. Se requiere Ip dedicada.Puedes contratar tu certificado SSL por solo 14.95 € al año AQUIPuedes contratar tu certificado SSL por solo 14.95 € al año AQUIPuedes contratar tu certificado SSL por solo 14.95 € al año AQUIPuedes contratar tu certificado SSL por solo 14.95 € al año AQUIPuedes contratar tu certificado SSL por solo 14.95 € al año AQUI
    • Bases de datos MySQL disponibles para su uso en cada alojamiento web
    • Supeditado al espacio total del alojamientoSupeditado al espacio total del alojamientoSupeditado al espacio total del alojamientoSupeditado al espacio total del alojamientoSupeditado al espacio total del alojamiento
    • ¿Quieres realizar desarrollos con Python? En Hostinet innovamos dia a dia en tu beneficio y por ello te presentamos como última novedad en todos nuestros servidores Web la posibilidad de desplegar tus aplicaciones con Python directamente desde el Plesk de tu Hosting.
    • ¿Quieres desarrollar tus aplicaciones con Ruby? En Hostinet te presentamos como última novedad en todos nuestros servicios de Hosting Web la posibilidad de desplegar tus aplicaciones con Ruby on Rails directamente desde el panel de control Plesk.
    • El fichero .htaccess permite modificar diferentes variables en la configuración de nuestra cuenta de alojamiento en el servidor.
    • El módulo mod_rewrite permite crear direcciones URL alternativas a las dinámicas generadas por la programación de nuestros sitio web (blog, foro, portal…), de tal modo que sean más legibles y fáciles de recordar
    • Te ayudamos vía email y teléfono en todas tus consultas sobre hosting web. Soporte en español por personal de Hostinet.
    • Completa recopilación de tutoriales sobre Hosting, Dominios y Wordpress
    • 30 dias para probar tu servicio de Hosting y si no te convence el servicio... te devolvemos el dinero!!
    • Copia diaria incremental realizada por HostinetCopia diaria incremental realizada por HostinetCopia diaria incremental realizada por HostinetCopia diaria incremental realizada por Hostinet
    • Podrás hacer tus copias de seguridad desde tu panel de alojamiento webPodrás hacer tus copias de seguridad desde tu panel de alojamiento webPodrás hacer tus copias de seguridad desde tu panel de alojamiento webPodrás hacer tus copias de seguridad desde tu panel de alojamiento webPodrás hacer tus copias de seguridad desde tu panel de alojamiento web
    • Precio para nuevas altas. Contratación anual.