Sitios WordPress en peligro por vulnerabilidad con WooCommerce

206

Investigadores han descubierto una vulnerabilidad en el plugin de WooCommerce para WordPress que permite a los atacantes tener acceso a una cuenta que tome todo el sitio.

Más de 4 millones de usuarios de WooCommerce fueron alertados sobre la falla de seguridad mediante su blog, en donde la compañía pedía que actualizaran a la nueva versión:

Las versiones 3.4.5 y anteriores se ven afectadas por una serie de problemas que permiten a los gerentes de las tiendas superar sus capacidades y realizar acciones maliciosas.

RIPS Technologies, la compañía de seguridad de PHP publicó una investigación en donde se advertía a lujo de detalle la vulnerabilidad presente en el plugin. Existen dos partes dentro de esta falla: una “falla de diseño en el sistema de privilegios” y una vulnerabilidad de eliminación de archivos que afecta  a las versiones 3.4.5 y anteriores.

Según la investigación, luego de que los atacantes hagan un ataque de phishing o como un trabajo interno, podrían usar la debilidad de la rutina de eliminación de archivo de registro para eliminar woocommerce.php, haciendo que la página se tumbe y causando que WordPress deshabilite el complemento.

Según Simon Scannel, investigador de RIPS Technologies, cualquier usuario de WooCommerce con una cuenta Shop Manager y con conocimientos de la vulnerabilidad podría comprometer todo el sitio.

¿Cómo ocurre el fallo?

Al instalar WooCommerce, el Shop Manager posee la función edit_users que permite editar cuentas de clientes, que está almacenada en WordPress.

Debido a este rol puede ser utilizada para editar la cuenta administrador de WordPress, siendo su alcance limitado por un filtro especial de “capacidad meta” en WooCommerce.

Aún así, para que WordPress aplique la protección el complemento deberá estar activo, lo cual no sería si un atacante ha explotado la debilidad de eliminación de archivos de WooCommerce.

La comprobación de privilegios meta que restringe a los gerentes de la tienda de los administradores de edición no se ejecutaría y el comportamiento predeterminado de permitir a los usuarios con edit_users editar cualquier usuario, incluso los administradores, se produciría. — Simon Scannel

La cuenta de WooCommerce con privilegios Shop Manager podría permitir elevarlos, permitiendo cambiar la contraseña del sitio y con ello tomar control del mismo.

¿Cómo evitar la vulnerabilidad?

Lo primero sería actualizar el plugin de WooCommerce a la versión 3.4.6 que salió el 11 de Octubre del 2018. Los complementos no poseen una actualización automática, por lo que los administradores deberán hacerlo manualmente.

En cuanto WooCommerce ha dado solución al problema:

Con esta versión, los administradores de la tienda solo pueden editar usuarios con la función de cliente de forma predeterminada, y hay una lista blanca de funciones que los administradores de la tienda pueden editar.

Se ha dado por entendido que el rediseño al sistema de permisos de WordPress tardará un poco en llegar. Le recomendamos estar pendientes de sus complementos, ya que este siempre ha sido el talón de Aquiles de WordPress. Mantenerlos al día podría representar la seguridad de su sitio web.

Fuente Naked Security

¡Necesitamos de tu ayuda!

Los ingresos por publicidad van cada vez más en picada, los sitios independientes como el nuestro son los más afectados. Nos hemos visto la necesidad de encontrar otras formas para continuar en funcionamiento.

Nuestro principal compromiso es el de mantener nuestro contenido libre e independiente, lo que significa que no existen publicaciones promocionadas, publicidad molesta ni tarifas de suscripción.

Si te gusta lo que hacemos y deseas apoyarnos, podrías considerar ser parte de nuestro Patreon:

Comentarios

Este sitio web utiliza cookies para mejorar su experiencia. Asumiremos que estás de acuerdo con esto, pero puedes optar por no hacerlo si lo deseas. AceptarLeer más