Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
07/08/2014
Vulnerabilidad en WordPress y Drupal
Descubren vulnerabilidad importantes en WordPress y Drupal que dejaría offline muchas websSi tienes un sitio web ejecutando una instalación de auto-organizada de WordPress o Drupal, en cuanto veas la notificación de actualización del software debes hacerla.
Nir Goldshlager, un investigador de seguridad del equipo de seguridad de producto de Salesforce.com ‘s, ha descubierto una vulnerabilidad en XML que impacta de forma directa a las populares plataformas de sitios web de WordPress y Drupal.
La vulnerabilidad utiliza un conocido XML Quadratic Blowup Attack - y cuando se ejecuta, se puede acabar con todo un sitio web o servidor casi al instante. Esta es una gran cosa porque WordPress y Drupal son utilizados por millones de sitios web, lo que significa que un ataque masivo dejaría offline muchos sitios web.
Cuando se explota la vulnerabilidad, los resultados, básicamente, pueden hacer que un sitio web o servidor web inutilizable. La vulnerabilidad puede causar 100% de la CPU y uso de memoria RAM, hacer que el servidor deje de estar disponible y también crear un ataque de denegación de servicio en el programa de base de datos MySQL. En otras palabras, el servidor web y la web puede llegar a ser totalmente inaccesible.
La vulnerabilidad XML descubierta por Goldshlager afecta a las versiones de WordPress 3.5 a 3.9 (la versión actual) y trabaja en la instalación por defecto. Afecta a las versiones 6.x de Drupal a 7.x (la última versión) y también trabaja en la instalación por defecto.
Referencias:None
Solución:La buena noticia es que tanto WordPress y Drupal han lanzado parches para sus aplicaciones. Los usuarios y los servidores de Internet sólo tienen que actualizar a la versión más reciente para proteger contra la vulnerabilidad.
Notas: