Un fallo en el sistema de autenticación del popular complemento de WordPress Really Simple Security (SSL) ha comprometido la seguridad de más de 4 millones de sitios web que utilizan esta herramienta, tanto en su versión gratuita como en la de pago.
Really Simple Security es un plugin diseñado para mejorar la seguridad de las páginas web mediante protección de inicio de sesión, autenticación multifactor (MFA) y detección de vulnerabilidades en tiempo real. Sin embargo, la división de ciberseguridad Wordfence ha detectado una vulnerabilidad que afecta a las versiones 9.0.0 hasta la 9.1.1.1, incluidas las ediciones Pro y Pro Multisite.
Este fallo permite que atacantes no autenticados se hagan pasar por usuarios existentes, incluidos administradores, cuando está activada la configuración de autenticación de dos factores (2FA), que, por defecto, viene deshabilitada. Wordfence ha alertado sobre los riesgos y recomienda a los administradores de sitios afectados actualizar el complemento de inmediato para mitigar esta amenaza.
Los expertos han dicho que esta falla, identificada como CVE-2024-10924, permite a los atacantes obtener acceso adminsitrativo completo de forma remota a cualquier web que ejecute el señalado ‘plugin’ a pesar de haber activado esta función de seguridad, según ha explicado este equipo de ciberseguridad en su blog.
Este problema radica en la función ‘check_login_and_get_user()’, que verifica la identidad de los usuarios comprobando dos parámetros, ‘ser_id’ y ‘login_nonce’. Cuando se añade información errónea en este último, la solicitud de acceso no se rechaza, sino que invoca a otra función, ‘authenticate_and_redirect()’. Esto significa que autentifica al usuario basándose únicamente en el campo ‘user_id’, de forma que permite omitir la autentificación.
Wordfence ha insistido en que se trata de una de las fallas «más graves» de las que ha informado en sus 12 años de historia como proveedor de seguridad para WordPress. De hecho, tiene una calificación de 9.8 por el Sistema de Puntuación de Vulnerabilidades Comunes (CVSS, por sus siglas en inglés).
Esta gravedad se debe a que la comentada vulnerabilidad se puede programar, de manera que «se puede convertir en un ataque automatizado a gran escala» dirigido a sitios web de WordPress, tal y como han matizado los investigadores.
También se ha confirmado que el proveedor de este complemento ha trabajado con el equipo de WordPress.org para enviar una actualización de seguridad (9.1.2) para todos los usuarios que ejecuten una versión vulnerable de SSL. Los usuarios que no tengan automatizadas estas actualizaciones deben hacerlo de manera manual.
