Alerta de seguridad
Nivel de peligrosidad: Crítico
Descripción
Se ha identificado una vulnerabilidad crítica en los complementos Really Simple Security (Free, Pro y Pro Multisite) para WordPress, registrada bajo la CVE-2024-10924, con una criticidad de 9.8. Esta vulnerabilidad permite la evasión de autenticación en la funcionalidad de autenticación de dos factores (2FA) a través de un manejo inadecuado de errores en la API REST de la función check_login_and_get_user.
Este error de verificación de usuario podría permitir a un atacante no autenticado iniciar sesión como cualquier usuario existente en el sitio, incluso como administrador, siempre que la autenticación de dos factores esté habilitada (aunque está deshabilitada por defecto). Esto expone a los sitios web afectados a un riesgo elevado de explotación, ya que la falta de autenticación permite que un atacante tenga acceso completo al sitio, lo que puede resultar en compromisos de integridad, confidencialidad y disponibilidad.
El error afecta a mas de 4 millones de sitios web en WordPress de los cuales mas de 5000 están activos en Bolivia, esta vulnerabilidad tiene un impacto potencial masivo.
Recursos afectados
- Complementos Really Simple Security (gratuito, Pro y Pro Multisite)
- Versiones afectadas: 9.0.0 a 9.1.1.1
Solución/Mitigación
- Los sitios afectados deben actualizar inmediatamente a la última versión disponible >= 9.1.2
- Si la actualización no se puede realizar de manera inmediata deshabilitar la autenticación de dos factores como medida temporal, aunque esto no garantiza la protección completa.
Recomendaciones
- Actualización urgente: Aplique el parche que corrige esta vulnerabilidad lo antes posible.
- Revisión de seguridad: Realice auditorías de seguridad en su sitio para detectar accesos no autorizados y revise los logs para verificar si ha habido intentos de explotación.
- Monitoreo constante: Realice un seguimiento activo de los sistemas posiblemente afectados para identificar cualquier actividad sospechosa relacionada con el acceso no autorizado.
- Activar las Actualizaciones automáticas de WordPress