El popular connector de WordPress LiteSpeed va arreglar una vulnerabilitat que va comprometre més de 4 milions de llocs web, permetent als pirates informàtics penjar scripts maliciosos.
LiteSpeed va rebre una notificació de la vulnerabilitat fa dos mesos el 14 d’agost i va llançar un pedaç a l’octubre.
Vulnerabilitat de Cross-Site Scripting (XSS).
Wordfence va descobrir una vulnerabilitat de Cross-Site Scripting (XSS) al connector LiteSpeed, el connector de memòria cau de WordPress més popular del món.
Les vulnerabilitats XSS són generalment un tipus que s’aprofita de la manca d’un procés de seguretat anomenat desinfecció i escape de dades.
La desinfecció és una tècnica que filtra quin tipus de fitxers es poden penjar mitjançant una entrada legítima, com ara un formulari de contacte.
A la vulnerabilitat específica de LiteSpeed, la implementació d’una funcionalitat de codi curt va permetre a un pirata informàtic maliciós penjar scripts que d’una altra manera no podrien tenir si hi hagués els protocols de seguretat adequats de desinfecció/escapament de dades.
La pàgina de desenvolupadors de WordPress descriu el pràctica de seguretat de desinfecció:
“Les dades no fiables provenen de moltes fonts (usuaris, llocs de tercers, fins i tot la vostra pròpia base de dades!) I cal comprovar-les abans d’utilitzar-les.
… La desinfecció d’entrada és el procés d’assegurar/netejar/filtrar les dades d’entrada”.
Una altra pàgina de desenvolupadors de WordPress descriu el recomanat procés d’escapament de dades com això:
“Escapar de la sortida és el procés d’assegurar les dades de sortida eliminant les dades no desitjades, com ara etiquetes HTML o script mal formats.
Aquest procés ajuda a protegir les vostres dades abans de representar-les per a l’usuari final”.
Aquesta vulnerabilitat específica requereix que el pirata informàtic primer obtingui permisos de nivell de col·laborador per poder dur a terme l’atac, la qual cosa fa que dur a terme l’atac sigui més complicat que altres tipus d’amenaces que no estan autenticades (no requereixen nivell de permís).
Segons Wordfence:
“Això fa possible que els actors d’amenaces portin a terme atacs XSS emmagatzemats. Un cop s’injecta un script en una pàgina o publicació, s’executarà cada vegada que un usuari accedeixi a la pàgina afectada.
Tot i que aquesta vulnerabilitat requereix que un compte de col·laborador de confiança estigui compromès o que un usuari pugui registrar-se com a col·laborador, els actors d’amenaces amb èxit podrien robar informació sensible, manipular contingut del lloc, injectar usuaris administratius, editar fitxers o redirigir usuaris a llocs web maliciosos que Tot són conseqüències greus”.
Quines versions del connector LiteSpeed són vulnerables?
Les versions 5.6 o inferiors del connector LiteSpeed Cache són vulnerables a l’atac XSS.
Es recomana als usuaris de LiteSpeed Cache que actualitzin el seu connector tan aviat com sigui possible a la darrera versió, 5.7, que es va publicar el 10 d’octubre de 2023.
Llegiu el butlletí de Wordfence sobre la vulnerabilitat LiteSpeed XSS:
Imatge destacada de Shutterstock/Asier Romero
