Un popular connector de còpia de seguretat de WordPress instal·lat en més de 200.000 llocs web recentment va corregir una vulnerabilitat d’alta gravetat que podria provocar un atac de denegació de servei. Wordfence va assignar una puntuació de nivell de gravetat CVSS d’Alt, amb una puntuació de 7,5/10, cosa que indica que els usuaris del connector haurien de prendre nota i actualitzar el seu connector.
Connector de còpia de seguretat
La vulnerabilitat afecta el connector de còpia de seguretat de WordPress Backuply. La creació de còpies de seguretat és una funció necessària per a tots els llocs web, no només per als llocs de WordPress, perquè les còpies de seguretat ajuden els editors a tornar a una versió anterior si el servidor falla i perd dades en una fallada catastròfica.
Les còpies de seguretat del lloc web són molt valuoses per a les migracions del lloc, la recuperació de la pirateria i les actualitzacions fallides que fan que un lloc web no sigui funcional.
La còpia de seguretat és un complement especialment útil perquè fa una còpia de seguretat de dades en diversos serveis de núvol de tercers de confiança i admet diverses maneres de descarregar còpies locals per crear còpies de seguretat redundants de manera que si una còpia de seguretat del núvol és dolenta, el lloc es pugui recuperar d’una altra còpia de seguretat emmagatzemada localment.
D’acord amb Còpia de seguretat:
“La còpia de seguretat inclou còpies de seguretat locals i còpies de seguretat al núvol segur amb integracions senzilles amb FTP, FTPS, SFTP, WebDAV, Google Drive, Microsoft OneDrive, Dropbox, Amazon S3 i una restauració senzilla amb un sol clic”.
Vulnerabilitat que afecta la còpia de seguretat
Base de dades nacional de vulnerabilitats del govern dels Estats Units avisa que la còpia de seguretat fins a la versió 1.2.5 inclosa conté una fallada que pot provocar atacs de denegació de servei.
L’avís explica:
“Això es deu a l’accés directe al fitxer backuply/restore_ins.php i. Això fa possible que els atacants no autenticats facin sol·licituds excessives que fan que el servidor es quedi sense recursos”.
Atac de denegació de servei (DoS).
Un atac de denegació de servei (DoS) és aquell en què una fallada en un programari permet a un atacant fer tantes sol·licituds ràpides que el servidor es queda sense recursos i ja no pot processar cap sol·licitud addicional, inclosa la publicació de pàgines web als visitants del lloc.
Una característica dels atacs DoS és que de vegades és possible carregar scripts, HTML o un altre codi que després es poden executar, permetent a l’atacant realitzar pràcticament qualsevol acció.
Les vulnerabilitats que permeten atacs DoS es consideren crítiques i s’han de prendre mesures per mitigar-les tan aviat com sigui possible.
Còpia de seguretat de la documentació del registre de canvis
El registre de canvis de Backuply oficial, que anuncia els detalls de cada actualització, assenyala que es va implementar una correcció a la versió 1.2.6. La transparència i la resposta ràpida de Backuply són responsables i un signe d’un desenvolupador de confiança.
D’acord amb la Registre de canvis:
“1.2.6 (08 DE FEBRER DE 2024)
[Security-Fix] En alguns casos era possible omplir els registres i s’ha solucionat. Informat per Villu Orav (WordFence)”
Recomanacions
En general, és molt recomanable que tots els usuaris del connector Backuply actualitzin el seu connector tan aviat com sigui possible per tal d’evitar un esdeveniment de seguretat no desitjat.
Llegiu la descripció de la vulnerabilitat de la National Vulnrability Database:
Llegiu l’informe de vulnerabilitat de Wordfence Backuply:
Còpia de seguretat – Còpia de seguretat, restauració, migració i clon <= 1.2.5 - Denegació de servei
Imatge destacada de Shutterstock/Doppelganger4
