Novedades Sobre NXnet

30/12/2016

Una vulnerabilidad en PHPMailer pone en riesgo a millones de sitios web

La falla afecta a plataformas como WordPress, Joomla y Drupal. Como prevenirlo.

Una vulnerabilidad crítica en la ejecución remota de código en PHPMailer, una de las bibliotecas de correo electrónico de PHP más utilizadas, podría poner millones de sitios web en riesgo. La falla fue detectada por un investigador de seguridad llamado Dawid Golunski y un arreglo inicial fue incluido en PHPMailer 5.2.18, que fue lanzado el sábado pasado. Sin embargo, se descubrió que el parche estaba incompleto y puede ser burlado.

 La biblioteca PHPMailer se utiliza directa o indirectamente por muchos sistemas de gestión de contenidos (CMS), incluyendo WordPress, Joomla y Drupal. Cuando la biblioteca no está incluida en el código principal, es probable que esté disponible como un módulo independiente o mediante complementos de terceros.

 Debido a esto, el impacto de la falla puede variar de un sitio a otro. Por ejemplo, el equipo de seguridad de Joomla determinó que Joomla JMail, que se basa en PHPMailer, tiene validaciones adicionales que hacen que la explotación de la vulnerabilidad sea poco práctica.

 La falla es causada por una validación insuficiente de la entrada de la dirección de correo electrónico del remitente y puede permitir a un atacante inyectar comandos que se ejecutan en el servidor web.

 Sin embargo, la explotación exitosa requiere de la presencia de un formulario web en el sitio que usa PHPMailer, para poder enviar correos electrónicos y permitir ingresar una dirección de correo electrónico personalizada del remitente. No está claro qué tan comunes son estas configuraciones, porque normalmente los formularios web tienen el correo electrónico del remitente predefinido y sólo permiten a los usuarios ingresar su propia dirección de correo electrónico como destinatario.

 Los desarrolladores de WordPress señalaron en su propio seguimiento de errores que la función interna wp_mail () utilizada por el código principal de WordPress no se ve afectada porque no utiliza la característica vulnerable de PHPMailer. Los plug-ins de terceros que usan wp_mail () correctamente no deberían ser afectados, pero el impacto a plug-ins específicos todavía está bajo investigación.

 Debido a que el impacto varía de un sitio a otro, dependiendo de cómo se utilice PHPMailer, no hay forma fácil para los webmasters de mitigar el problema sin una evaluación exhaustiva.

 Si se usa PHPMailer directamente en el código del sitio web, se debe actualizar la biblioteca a la versión más reciente tan pronto como se publique. También debe determinarse si se envían correos electrónicos con la ayuda de una versión vulnerable de PHPMailer y si un posible atacante puede ingresar la dirección de correo electrónico del remitente.

 Si se utiliza un sistema de gestión de contenido, debe comprobarse el sitio web de soporte para determinar si se ve afectado en su configuración predeterminada. A continuación, debe evaluarse el impacto de cualquier plug-in de terceros o módulos que se han instalado y que podrían utilizar PHPMailer por su cuenta.

php falla