Una vulnerabilidad crítica de alto riesgo ha sido identificada en un plugin de WordPress con más de 90,000 instalaciones, permitiendo a los atacantes lograr ejecución remota de código y comprometer por completo los sitios web vulnerables.
El plugin, conocido como Backup Migration, se utiliza para automatizar copias de seguridad del sitio a almacenamiento local o a una cuenta de Google Drive.
El fallo de seguridad, registrado como CVE-2023-6553 con una calificación de gravedad de 9.8/10, fue descubierto por el equipo de caza de bugs informáticos Nex Team.
El equipo informó sobre la vulnerabilidad a Wordfence, una firma de seguridad de WordPress, bajo un programa de recompensas por encontrar errores recientemente implementado.
Esta vulnerabilidad afecta a todas las versiones del plugin de WordPress, incluida la Backup Migration 1.3.6, y los actores maliciosos pueden explotarla con ataques de baja complejidad y sin necesidad de interacción del usuario.
El CVE-2023-6553 permite a los atacantes no autenticados tomar el control de los sitios web objetivos mediante la ejecución remota de código a través de la inyección de código PHP en el archivo /includes/backup-heart.php.
Wordfence explicó que esto es posible porque un atacante puede manipular los valores pasados a una ‘include’, permitiéndoles lograr la ejecución remota de código.
Esto posibilita que actores amenazantes no autenticados ejecuten fácilmente código en el servidor.
«Al enviar una solicitud especialmente diseñada, los actores amenazantes pueden aprovechar este problema para incluir código PHP arbitrario y malicioso y ejecutar comandos arbitrarios en el servidor subyacente en el contexto de seguridad de la instancia de WordPress», declaró Wordfence.
En el archivo /includes/backup-heart.php utilizado por el plugin Backup Migration, se intenta incorporar bypasser.php desde el directorio BMI_INCLUDES, definido mediante la fusión de BMI_ROOT_DIR con la cadena includes, en la línea 118.
Sin embargo, BMI_ROOT_DIR se define a través de la cabecera content-dir HTTP en la línea 62, lo que hace que BMI_ROOT_DIR esté sujeto al control del usuario.
Parche de corrección
Wordfence comunicó la crítica vulnerabilidad de seguridad al equipo de desarrollo de BackupBliss, los creadores del plugin Backup Migration, el 6 de diciembre, y los desarrolladores rápidamente lanzaron un parche.
A pesar del lanzamiento de la versión corregida Backup Migration 1.3.8 el mismo día del informe, casi 50,000 sitios web de WordPress que utilizan versiones vulnerables aún no han aplicado la solución, según indican las estadísticas de descargas de WordPress.org hasta casi una semana después.
Se insta encarecidamente a los administradores a asegurar sus sitios web contra posibles ataques relacionados con CVE-2023-6553, ya que esta vulnerabilidad crítica puede ser explotada remotamente por actores maliciosos no autenticados.
Adicionalmente, los administradores de WordPress deben tener precaución ante una campaña de phishing dirigida a persuadirlos para que instalen plugins maliciosos a través de falsos avisos de seguridad de WordPress, que advierten sobre una vulnerabilidad ficticia identificada como CVE-2023-45124.
La semana pasada, WordPress también abordó una vulnerabilidad de cadena de Programación Orientada a Propiedades (POP) que, bajo ciertas condiciones (específicamente en combinación con algunos plugins en instalaciones multinivel), podría permitir a los atacantes ejecutar código PHP arbitrario.
