Un fallo de seguridad en el proceso de actualización de WordPress puede permitir que un atacante ejecute código en el servidor durante el mismo paso en que se instala la corrección, según el investigador Umut Bayram de Picus Security. La vulnerabilidad está siendo explotada en la práctica y WordPress publicó parches que incluyen la mitigación.
Qué ocurre durante la actualización y por qué hay riesgo
Cuando WordPress realiza una actualización completa del núcleo, descarga y descomprime el paquete en una carpeta temporal dentro de wp-content/upgrade. Esa copia incluye el instalador de WordPress y en muchos sitios el servidor web puede acceder a ella mientras existe.
El parche publicado cambia el nombre de esa carpeta temporal por uno aleatorio, de modo que un atacante no pueda predecir su ubicación. Sin embargo, el proceso que instala el parche en el sitio usa el código antiguo que ya está en el servidor para descomprimir los archivos. En ciertas circunstancias, ese paso final todavía crea la carpeta con un nombre predecible, abriendo una última oportunidad para un atacante que descubra el nombre y acceda al instalador antes de que WordPress borre la copia.
Si el atacante consigue llegar a ese instalador temporal, puede completar una instalación maliciosa —por ejemplo crear su propia configuración de WordPress— e iniciar sesión en esa copia temporal. Con eso podría ejecutar PHP con los permisos del servidor web y leer o modificar archivos del sitio en producción.
Quiénes están afectados y cuándo ocurre la exposición
La falla afecta a instalaciones que ejecutan versiones del núcleo en el rango informado (desde versiones antiguas hasta 7.1.3). No todas las actualizaciones exponen el instalador: las actualizaciones parciales (que contienen solo los archivos que cambiaron entre versiones) pueden no incluir los archivos del instalador y, por tanto, no crean una copia instalable en la carpeta temporal. En cambio, las actualizaciones completas sí siempre incluyen el instalador.
En versiones anteriores a 5.9 el nombre temporal suele incluir caracteres aleatorios que reducen la probabilidad de descubrimiento, salvo que el sitio filtre la ruta por otro error. En 5.9 y posteriores el código antiguo nombraba la carpeta en función del archivo descargado, lo que puede ser predecible «una última vez» durante la actualización que instala la corrección.
Qué deben hacer los administradores y propietarios de sitios
- Aplicar el parche: instalar la versión que corrige la vulnerabilidad (WordPress 7.1.4 y las actualizaciones para ramas anteriores) tan pronto como sea posible.
- Bloquear el acceso web a wp-content/upgrade: impedir que el servidor web sirva archivos desde esa carpeta no rompe el proceso de actualización, porque WordPress opera sobre los archivos en disco. Es la recomendación principal del investigador para eliminar la ventana de exposición.
- Actualizar fuera del webroot: realizar una actualización manual descomprimiendo la nueva versión en una carpeta que no sea accesible por la web, copiar los archivos de núcleo sin sobrescribir wp-config.php ni wp-content, y luego ejecutar la actualización de base de datos. Así no se crea un instalador alcanzable por HTTP.
- Evitar confiar en WP-CLI para este caso: la herramienta wp core update utiliza el mismo mecanismo de descompresión y, por tanto, puede exponerse de la misma forma.
- Si no se puede parchear aún: revisar los registros y buscar indicadores de compromiso, y considerar medidas temporales como restringir el acceso a la carpeta temporal desde la configuración del servidor web o del firewall de aplicaciones.
Limitaciones y recomendaciones finales
No existe parche para versiones que ya no reciben actualizaciones de seguridad (por ejemplo, WordPress 4.6 y anteriores); los sitios que sigan en esas versiones deben planear migrar a una rama soportada. El investigador y equipos de seguridad que analizaron ataques observan intentos de explotación que buscan precisamente el momento de la actualización, por lo que la combinación de parchear cuanto antes y bloquear el acceso a wp-content/upgrade es la forma práctica de reducir el riesgo.
Lee también:
- Detectan ataques que explotan vulnerabilidad RCE en la ventana de actualización de WordPress
- WordPress 7.2 Beta 4 llega con actualizaciones selectivas de traducción y corrección en Visual Revisions
Fuente: The Hacker News
