Aviso sobre amenazas de ciberseguridad:

10 de diciembre de 2024

Vulnerabilidad critica en complementos WordPress

Se han identificado dos fallos de seguridad críticos en complementos de WordPress: AntiSpam de Clean Talk. Este complemento esta instalado en mas de 200,000 sitios web.

¿Cuál es la amenaza?

Las dos vulnerabilidades criticas en los complementos de protección contra spam, antispam y firewall de WordPress permiten a atacantes no autenticados instalar y activar complementos maliciosos en los sitios afectados realizar ejecuciones remotas de código (RCE). Las vulnerabilidades, identificadas como CVE-2024-10542 y CVE-2024-10781, tienen una puntuación CVSS de 9,8 sobre 10,0. Los parches de seguridad se pusieron a disposición en las versiones 6.44 y 6.45 publicadas a principios de este mes.

¿Por qué es de relevancia?

Estas dos vulnerabilidades pueden ser bastante dañinas. CVE-2024-10542 es una omisión de autorización a través de una falla de suplantación de DNS inversa. Al explotar la funchion checkWithoutToken(), los atacantes pueden imitar los servidores de Clean Talk, lo que les permite instalar y activar complementos arbitrarios sin autenticación.

CVE-2024-10781 es una omisión de autorización debido a la falta de un flujo de verificación de valor vacío. Esta vulnerabilidad expone los sitios web a acciones no autorizadas cuando la clave API del complemento permanece sin configurar. Los atacantes pueden explotar esta falla utilizando un hash de clave API vacío para autorizarse y realizar acciones como instalar o activar complementos.

Ambas vulnerabilidades se consideran criticas porque los atacantes pueden realizar RCE para comprometer la integridad y seguridad de los sitios web afectados. Los usuarios de WordFence Premium, Care y Reponse ya tienen reglas de firewall activas implementadas para protegerse contra estas vulnerabilidades.

¿Cuál es el riesgo?

Para explotar CVE-2024-10542, un atacante puede crear un subdominio como “cleantalk.org.evilsite.com” para engañar a los controles de seguridad y eludir la autorización. Esto le permite al atacante instalar o activar complementos maliciosos. El uso indebido de strpos() para comprobar la cadena “cleatalk.org” hace que esta función sea susceptible a ataques de suplantación de identidad.

CVE-2024-10781 surge de la falla en la validación de claves API vacías. Si la clave API del complemento no esta configurada, los atacantes pueden explotar la lógica de respaldo para autenticarse haciendo coincidir un valor hash vacío. Este problema es especialmente ciritico para los complementos no configurados, que pueden ser comunes entre los administradores de sitios con menos experiencia. Sin una clave API, la comparación de hash se vuelve fácil de eludir, lo que permite a los atacantes eludir las medidas de seguridad.

Recomendaciones

Se recomienda que las organizaciones tomen medidas para reducir el riesgo de explotación y proteger su infraestructura critica:

Actualice Anti-Spam de CleanTalk a la version 6.45.
Asegúrese de que la clave API del complemento este configurada correctamente.
Implemente medidas de seguridad adicionales, como un firewall de aplicaciones web, para proteger sus sitios web de WordPress.