Falla crítica en el complemento de cumplimiento GDPR para WordPress
Una vulnerabilidad de seguridad crítica que afecta a un complemento de cumplimiento GDPR para WordPress ya se ha explotado en la naturaleza para tomar el control de sitios web vulnerables.
Los usuarios advierten sobre ataques cibernéticos que explotan una vulnerabilidad de seguridad crítica en el complemento de Cumplimiento de GDPR de WordPress para que WordPress se haga cargo de los sitios web que lo usan.
El complemento de cumplimiento de WordPress GDPR fue utilizado por más de 100,000 sitios web para cumplir con el Reglamento General de Protección de Datos de la UE (GDPR) . WP GDPR Compliance actualmente admite Formulario de contacto 7 (> = 4.6), Formularios de gravedad (> = 1.9), WooCommerce (> = 2.5.0) y Comentarios de WordPress. Soporte adicional de plugin seguirá pronto.
Los investigadores de Wordfence informaron que el complemento de Cumplimiento de GDPR de WordPress está afectado por vulnerabilidades que pueden ser explotadas por atacantes no autenticados para agregar nuevas cuentas de administrador.
“Las vulnerabilidades informadas permiten a los atacantes no autenticados lograr una escalada de privilegios, lo que les permite infectar aún más los sitios vulnerables. Todos los sitios que utilicen este complemento deberían convertirlo en una prioridad inmediata para actualizar a la última versión, o desactivarlo y eliminarlo si las actualizaciones no son posibles. " Segun el análisis publicado por Wordfence.
Ya hemos comenzado a ver casos de sitios vivos infectados a través de este vector de ataque. En estos casos, la capacidad de actualizar valores de opciones arbitrarias se está utilizando para instalar nuevas cuentas de administrador en los sitios afectados".
Los investigadores de Wordfence han observado dos tipos de ataques . En un escenario de ataque, los atacantes explotan las vulnerabilidades para modificar la opción "users_can_register" y permiten que se registren nuevos usuarios. Los atacantes también cambian el rol de los nuevos usuarios a "administrador" para obtener privilegios completos en los sitios web.
Los atacantes usan la cuenta de administrador para cargar un webshell de PHP.
"Al aprovechar esta falla para establecer la opción users_can_register en 1, y al cambiar la función predeterminada de los nuevos usuarios a" administrador ", los atacantes simplemente pueden completar el formulario en /wp-login.php?action=register y acceder de inmediato a una cuenta privilegiada. Desde este punto, pueden volver a cambiar estas opciones a la normalidad e instalar un complemento malicioso o un tema que contenga un shell web u otro malware para infectar aún más el sitio de la víctima ", continúa el análisis.
En un segundo escenario de ataque observado por expertos de Wordfence, los atacantes utilizaron una técnica más compleja. Los atacantes instalaron puertas traseras inyectando acciones maliciosas en el programa WP-Cron de un sitio web para establecer una puerta trasera persistente.
“En varios de los casos que hemos analizado desde la divulgación de esta vulnerabilidad, hemos visto cuentas de administradores maliciosos presentes con las variaciones del nombre de usuario t2trollherten . Este vector de intrusión también se ha asociado con webshells cargados llamados wp-cache.php . Si bien estos son IOCs comunes (Indicators of Compromise), estas vulnerabilidades están sujetas a cambios a medida que los ataques crecen en sofisticación ”, afirma el análisis.
Los atacantes pueden usar sitios web comprometidos para diversas actividades ilegales, como phishing y spamming, o para revender el acceso a ellos en el ciberdelito clandestino.
El equipo de desarrollo detrás del complemento de Cumplimiento de GDPR desactivó el complemento en su tienda oficial y se reincorporó después del lanzamiento de la versión 1.4.3 el 7 de noviembre que abordó las fallas.