Recibimos la noticia desde DaboBlog y tras leer la noticia original en Desvarios informaticos realizamos una serie de comprobaciones.

Si bien en muchos servidores el bug no puede realizarse debido a mecanismos auxiliares de seguridad, no deja de ser una puerta abierta a la realización de graciosas pruebas por parte de script kiddies.

La realidad, es que si el servidor tiene determinadas configuraciones muy comunes en muchos servidores de hosting compartido, el exploit es muy duro, y con unas pequeñas modificaciones al fichero demo para la ejecución del exploit, en menos de 30 segundos se puede dejar un servidor totalmente tumbado.

Lo peor, es que la gente de WordPress no ha contestado aun, y es por ello que el descubridor del error, lo ha hecho publico.

En nuestras pruebas hemos visto que afecta a versiones desde la actual hasta las primeras en la que se usa este trozo de código.

Solución

Editar el fichero wp-trackback.php

$charset = $_POST['charset'];

Cambiar por:

$charset = str_replace(“,”,”",$_POST['charset']);
if(is_array($charset)) { exit; }

Demo exploit

No la publicamos. Ya es bastante que este en un sitio

Aunque el nivel de riesgo indicado por Secunia es elevado, los desarroladores de WordPress lo presentan como un riesgo menor, no por ello han lanzado la revision 2.63, en forma de fichero completo, aunque han puesto a disposición de los usuarios el fichero afectado, así como el fichero de versión e WordPress, que son los únicos que deberán ser sustituidos.

1. wp-includes/class-snoopy.php
2. wp-includes/version.php

Motivos del exploit y explicación: Falta de comprobación en la entrada de datos que provoca la posibilidad de inyección de código SQL.

Versiones afectadas: 1.15.4 e inferiores

Estado actual y busqueda en Google: Minimo

Prueba de concepto: Sin prueba

Solución: Actualizacion Typo3 JobControl 1.15.5

Motivos del exploit y explicación: Error en la verificación de datos pasados por URL permite la inyección de código, comprometer la aplicación y explotar otras vulnerabilidades a través de la base de datos.

Versiones afectadas: 0.1.16

Estado actual y busqueda en Google: Minimo

Prueba de concepto: Sin poublicar

Solución: No hay solución a la fecha de publicación por parte del desarrollador

Motivos del exploit y explicación: Una vez más la falta de comprobación en los datos enviados desde el navegador, hace explotable la aplicación mediante inyección de código SQL.

Versiones afectadas: Todas las versione se enucentran afectadas incluida kiddog_playerlist 1.0.3

Estado actual y busqueda en Google: Minimo

Prueba de concepto: No encontrada

Solución: No hay solución por el momento propuesta por los desarrolladores.

Motivos del exploit y explicación: La falta de comprobación en los datos pasados en una consulta pasados por la URL permite al atacante comprometer los datos SQL o explotar otras vulnerabilidades.

Versiones afectadas: No se indica

Estado actual y busqueda en Google: medio

Prueba de concepto: Scholl

Solución: Actualmente los desarrolladores no ofrecen solución.

Motivos del exploit y explicación: Una falta de comprobación en los datos de entrada permite la inyección de código SQL. Las condiciones del exploit, lo hacen estar calificado como moderadamente crítico.

Versiones afectadas: Confirmado para la versión 1.1.1 (no localizamos esta versión en su repositorio aunque imaginamos se trata de una versión de desarrollo?), aunque otras versiones pueden estar afectadas.

Estado actual y busqueda en Google: Medio

Prueba de concepto: Milw0rm

El exploit permite al atacante la inyección de código SQL pudiendo modificar los datos, explotar otras vulnerabilidades patentes o dejar una puerta abierta a futuros ataques.

A la fecha de publicación no hay respuesta de los desarrolladores sobre el exploit, y se encuentra en una fase muy avanzada de propagación en la red.

Se publican pruebas de concepto.

La inyección SQL es posible por un despiste en lso filtrados en el envio de los comentarios en la variable post ID.

El Cross-Site Scripting  por un despiste en el filtrado o sanitización o por el escape varias opticiones.

El Cross-Site Request Forgery es causado por un despiste en la opciones del formulario.
Se publica prueba de concepto, y aunque la fecha es de ayer, la nueva versión disponible 1.4.4 no aclara si es precisamente una revisión a estas vulnerabilidades.

Este plugin ya ha destacado por ser el ganador del concurso de plugins de WordPress, WordPress Plugin Competition 2.5, y de la polémica de este premio a raíz de los múltiples errores en distintas instalaciones de usuarios, que provocan el mal funcionamiento de WP o del propio plugin, como podemos ver en MangasVerdes

Según la nota, son vulnerables las versiones existentes desde la 2.6 y no se conoce parche o respuesta oficial.

Se publica prueba de concepto que una vez más dependerá de la configuración del servidor web y de las contramedidas existentes para este tipo de fallos de programación.