11 de agosto de 2009
Nueva vulnerabilidad en WordPress 2.8.3
WordPress 2.8.4 Actualización de seguridad disponible desde el día de hoy 11 de Agosto del 2009. Ver más info al final del post.
Nueva vulnerabilidad en WordPress fue reportada el día de hoy por el investigador Francés “Laurent Gaffié”. Esta vulnerabilidad afecta a todas las versiones de WordPress 2.8.0, 2.8.1, 2.8.2 y 2.8.3 inclusive, para el cual todavía no existe parche oficial o nueva actualización de seguridad disponible.
“Remote admin reset password” Se trata de una vulnerabilidad que puede ser aprovechada por un atacante remotamente a través de un navegador web bloqueando temporalmente la cuenta del administrador de nuestro WordPress, impidiendo así que nos podamos loguear, o sea acceder de forma correcta a la administración de nuestro blog.
Los desarrolladores de WordPress ya fueron advertidos de dicha vulnerabilidad y seguramente estemos viendo una actualización de seguridad WordPress 2.8.4 en los próximos días y aunque si bien no han liberado un parche oficial si lo han corregido en la versión de desarrollo del programa.
La solución es fácil y rápida de implementar y simplemente se tiene que editar el archivo que se encuentra en el directorio raíz de su blog llamado “wp-login.php” donde buscaremos lo siguiente:
if ( empty( $key ) )
para remplazarlo por:
if ( empty( $key ) || is_array( $key ) )
Desde InfoSpyware le recomendamos a todos los usuarios de WordPress a implementar esta modificaciones de seguridad cuanto antes, mientras esperamos la actualización oficial.
Actualización de WordPress 2.8.4 disponible desde el día de hoy.
Tal como anunciábamos en este mismo post, sabíamos que la gente de WordPress siempre trabaja muy rápido y se preocupa mucho por solventar rápidamente los bugs de seguridad encontrados. Por eso el día de hoy acaban de liberar la nueva versión de WordPress 2.8.4: Security Release que soluciona la vulnerabilidad de “Remote admin reset password” totalmente.
Independientemente si parcharon o no su actual WordPress, desde InfoSpyware les recomendamos actualizar cuanto antes a la nueva versión 2.8.4 que aparte de las líneas que recomendamos modificar arriba, agrega otras líneas más.
Surf Safely
Malware/IT Threats Researcher - Founder / CEO to InfoSpyware & ForoSpyware
Posts relacionados:
- 7 parches de seguridad para Windows….
- Blogs de WordPress en peligro
- Firefox 2.0.0.14, actualización de seguridad
- Google Chrome y su primer vulnerabilidad = “Carpet Bomb”.
- Firefox 1.5.0.9 y 2.0.0.1 disponibles
- Nuevo parche acelera Explorer 7
- SUPERAntiSpyware Nuevo parche al español.
- Avast Antivirus se vuelve loco con Win32:Delf-MZG [Trj]
- Se descubre el primer bug en Firefox 3.0
- Nuevo Ad-Aware 2008 Beta!
Comentarios
-
viajes dominicana // 11 de agosto de 2009
pero al bloquear de esta manera el admin de wordpress, no pudiera el administrador restablecer la misma o cuales son las consecuencias reales de esto?
-
Marcelo Rivero // 11 de agosto de 2009
Hola Viajes,
Me gusta cuando los comentarios en el blog son preguntas inteligentes del tema :)
Esta modificación en el archivo wp-login.php NO bloquea la función de restablecer contraseña del administrador directamente. Simplemente agrega un vector (array) en la variable $key para solucionar este fallo.
Sin este parche un atacante pueda restablecer la contraseña del administrador sin tener una dirección de correo válida ya que se puede saltar el paso de validar el correo.
Al implementar esta pequeña modificación, por un lado un atacante no podría saltar el paso de validación del correo y por lo tanto no bloqueara nuestro acceso al panel de control.
En conclusión, como administrador vas a poder seguir usando normalmente la función de restablecer contraseña, incluso después de haber implementado este parche y sin que tu WP corra ningún riesgo.
Salu2
Marcelo. -
roc21 // 12 de agosto de 2009
Yo busco dentro de ese archivo pero encuentro dos: if ( empty( $key ) )
Cuál de los dos hay que reemplazar, los dos??
Saludos.
-
Marcelo Rivero // 12 de agosto de 2009
Hola @roc21,
Únicamente es necesario remplazar el “if ( empty( $key ) )” que se encuentra en la linea 190.
Salu2
Marcelo. -
Isa // 12 de agosto de 2009
Ya ha salido la actualización. Mi pregunta:¿una vez editado el archivo es necesario actualizar?
Gracias -
Marcelo Rivero // 12 de agosto de 2009
Hola Isa,
Estuve comprobando las versiones y la respuesta seria que “SI” incluso habiendo parchado con las recomendaciones de arriba, es recomendable actualizar a la nueva versión de WordPress 2.8.4
Si no queres hacer toda la instalación, poder salir rápido del tema actualizando vía FTP únicamente el archivo wp-login.php que aparte de tener la modificación de arriba, continúe nuevas 4 lianas nuevas para reforzar la seguridad de WP.
Salu2
Marcelo.
