Durante una auditoría de rutina que realiza sucuri.net, descubrió un XSS crítico que afecta el plugin de WordPress Jetpack, una de los plugins más populares en el ecosistema de WordPress.
Vulnerabilidad de divulgación de la línea de tiempo:
10 de septiembre 2015 – Informe inicial al equipo de seguridad de Automattic
10 de septiembre 2015 – Recepción del equipo de seguridad Automattic acks del informe, fija fecha parche para 22 de septiembre
28 de septiembre 2015 – Parche publicado con el lanzamiento de Jetpack 3.7.1 y 3.7.2
01 de octubre 2015 – Divulgación Sucuri Público de Vulnerabilidad
¿Está usted en riesgo por la vulnerabilidad XSS en Jetpack?
La vulnerabilidad afecta a los usuarios de la versión Jetpack inferior o igual a 3,7 que utiliza el módulo de formulario de contacto presente en el plugin (que se activa por defecto). Un atacante puede aprovechar este problema al proporcionar una dirección de correo electrónico malicioso especialmente diseñado en una de las páginas del formulario de contacto del sitio. A medida que el correo electrónico no es verificada apropiadamente antes de ser de salida en el ‘Feedback’ sección administrativa, el atacante podría usar este error y un poco de hackery navegador web para ejecutar código JavaScript en el extremo del administrador, lo que les permite hacer lo que quiera con el sitio (ocultar una puerta trasera para la futura explotación del sitio hackeado, la inyección de spam SEO, etc.).
Actualizar Jepack lo antes posible
Hay un par de cosas a tener en cuenta cuando se piensa acerca de esta vulnerabilidad. Cross-Site Scripting (XSS) vienen en varios sabores, unos más graves que otros. En la mayoría de casos, las vulnerabilidades que escuche atribuido a XSS son lo que se dice vulnerabilidades XSS reflectantes. Aquí es donde el usuario puede hacer que algo funcione en el navegador a través de una cadena URL cuidadosamente elaborada, pero está sucediendo en la superficie pre-verbal del sitio.
En este caso, sin embargo, estamos hablando de una vulnerabilidad XSS almacenado; es decir, un visitante a su sitio web es capaz de pasar de código arbitrario en el servidor web y esperar a que alguien acceda a su panel de WordPress. Esto es fundamentalmente diferente. Los usuarios que inician sesión en wordpress podrían ser suscriptores, autores o incluso los administradores. Los atacantes simplemente tiene que esperar a que el derecho de usuario para iniciar sesión, sin introducir indicadores adicionales que podrían alertar al administrador (creo que una campaña de phishing). A esto se suma la popularidad de un plugin como JetPack, desplegado por defecto en muchas instalaciones a través de sus anfitriones o los paquetes de instalación.
Esto también presenta a los lectores con un ejemplo que ilustra cómo con el tiempo suficiente y la energía, los bugs pueden ser identificados y explotados con fines maliciosos. Atacar extensiones de aplicaciones CMS como Jetpack (que tiene una base de más de 1 millón de instalaciones activas instalar) es una mina de oro para cualquier atacante. Es importante que usted actualice jetpack. Si por alguna razón no puedes, te animamos a aprovechar una pila de seguridad que le proporciona defensas pro-activas en contra no sólo de los problemas conocidos, también de desconocidos. Le animamos a mirar las plataformas de protección como un firewall Sitio Web o tecnología equivalente que proporciona alguna forma de parches virtuales y endurecimiento para ayudar a la estancia de estas amenazas emergentes.
Referencia: https://blog.sucuri.net/2015/10/security-advisory-stored-xss-in-jetpack.html?utm_source=Sucuri+-+Main&utm_campaign=8aedd3eb28-Customers_Security_advisory_Stored_XSS_Jetpack&utm_medium=email&utm_term=0_0b8bb56c94-8aedd3eb28-82303781