Se abusa del complemento SMTP de WordPress de día cero para restablecer las contraseñas de la cuenta de administrador

Los piratas informáticos están restableciendo las contraseñas de las cuentas de administrador en los sitios de WordPress utilizando una vulnerabilidad de día cero en un popular complemento de WordPress instalado en más de 500.000 sitios. El día cero se utilizó en ataques durante las últimas semanas y se parcheó el lunes. Afecta a Easy WP SMTP, un complemento que permite a los propietarios del sitio configurar los ajustes SMTP para los correos electrónicos salientes de su sitio web.
Según el equipo de Ninja Technologies Network (NinTechNet), Easy WP SMTP 1.4.2 y las versiones anteriores del complemento contienen una función que crea registros de depuración para todos los correos electrónicos enviados por el sitio, que luego almacena en su carpeta de instalación.
"La carpeta del complemento no tiene ningún archivo index.html, por lo tanto, en los servidores que tienen habilitada la lista de directorios, los piratas informáticos pueden encontrar y ver el registro", dijo Jerome Bruandet de NinTechNet. Imagen: NinTechNet Bruandet dice que en los sitios que ejecutan versiones vulnerables de este complemento, los piratas informáticos han estado realizando ataques automatizados para identificar la cuenta de administrador y luego iniciar un restablecimiento de contraseña.
Dado que un restablecimiento de contraseña implica enviar un correo electrónico con el enlace de restablecimiento de contraseña a la cuenta de administrador, este correo electrónico también se registra en el registro de depuración de Easy WP SMTP. Todo lo que los atacantes tienen que hacer es acceder al registro de depuración después de restablecer la contraseña, tomar el enlace de restablecimiento y hacerse cargo de la cuenta de administrador del sitio. Imagen: NinTechNet "Esta vulnerabilidad está actualmente explotada, asegúrese de actualizar lo antes posible a la última versión", advirtió Bruandet a principios de esta semana el lunes.
Los desarrolladores del complemento han solucionado este problema moviendo el registro de depuración del complemento a la carpeta de registros de WordPress, donde está mejor protegido. La versión donde se corrigió este error es Easy WP SMTP 1.4.
4, según el registro de cambios del complemento. Esto marca el segundo día cero descubierto en este complemento muy popular. Se descubrió que se abusaba de un primer día cero en la naturaleza en marzo de 2019, cuando los piratas informáticos usaron una vulnerabilidad SMTP de Easy WP para permitir el registro de usuarios y luego crearon cuentas de administrador de puerta trasera.
La buena noticia es que, en comparación con marzo de 2019, hoy, el CMS de WordPress ha recibido una función de actualización automática incorporada para temas y complementos. Agregada en agosto de 2020, con el lanzamiento de WordPress 5.5, si está habilitada, esta función permitirá que los complementos siempre se ejecuten en la última versión actualizándose, en lugar de esperar a que el administrador presione el botón.
Sin embargo, actualmente no está claro cuántos sitios de WordPress tienen esta función habilitada y cuántos de los más de 500,000 sitios de WordPress están ejecutando la última versión (parcheada) de Easy WP SMTP. Según las estadísticas de WordPress.org, el número no es tan alto, lo que significa que muchos sitios siguen siendo vulnerables a los ataques.
Imagen: ZDNet pags VER GALERIA COMPLETA.