Va de pre-fetching, Wordpress y links malintencionados

August 13th, 2009 · 12 Comments · hacking, internet

Como más de uno sabrá ya, ha salido a la luz una vulnerabilidad en Wordpress 2.8.3 mediante la cual se puede resetear el password de administrador con un link malicioso (maliiiiiiiiiigno) como el siguiente:

http://DOMAIN_NAME.TLD/wordpress/wp-login.php?action=rp&key=o7naCKN3OoeU2KJMMsag

Hasta aquí normal, de vez en cuando salen vulnerabilidades, además cuando recibes un correo (por ejemplo) con el link maloso te das cuenta de que hay gato encerrado.. pero ¿puede haber otros factores? Uhm, sí. ¿Qué tal los acortadores de direcciones? No se vería en principio a donde vas.

Por otro lado, hace un par de días actualicé Firefox a la versión 3.5.2 y esta mañana me he dado cuenta de que tiene activado un pre-fetch de links para navegar de un modo más rápido, es decir, precarga la primera búsqueda de google, precarga el siguiente post del blog que estás leyendo, etc. ¿Precarga un link malicioso que has recibido intentando explotar el bug anterior?

No me parece nada segura este tipo de navegación acelerada así que para desactivar esta opción se puede entrar en el about:config y desactivarla:

network.prefetch-next = false

Y ahora el mundo es un poquito mejor (de hecho ya han ido llegando correos maliciosos por algún sitio intentando explotarlo).

Sobre Wordpress, ó se actualiza a la versión 2.8.4 ó se cambia a mano el código vulnerable.

–
Fuente original en http://vierito.es/wordpress

12 responses so far ↓

1 kuasar // Aug 16, 2009 at 11:57 pm

A mí ya me llegó un email diciendo que confirmara un cambio de contraseña, pero vamos, no soy taaaaan tonta ¬¬.

De todas formas está en proceso la actualización.
2 akae // Aug 17, 2009 at 8:55 am

No uso wordpress y creo que tengo el prefetch deshabilitado en Firefox. Éste comentario sólo me sirve para ver los iconitos de Chrome y Debian juntos…
3 vierito5 // Aug 17, 2009 at 11:05 am

Lo mejor del blog sin duda son los dibujitos esos, lo entiendo.
4 kuasar // Aug 17, 2009 at 11:08 am

Pues lo siento akae, pero ha sido un FAIL .
5 vierito5 // Aug 17, 2009 at 11:11 am

Tu representante de usuario te la ha jugado xDDDD, despídele!
6 mageles // Aug 17, 2009 at 11:26 am

En cuanto saque un rato me pongo chrome en Linux!!

P.D: creo que el iconito de Ubuntu si que sale mwahahaha
7 papanoel // Aug 17, 2009 at 6:09 pm

A ver qué sale desde el opera mini del movil, me pica la curiosidad
8 akae // Aug 18, 2009 at 10:28 am

¿Con Firefox sí que sale la espiral? La verdad es chrome no dice nada de Debian en el user agent:

Mozilla/5.0 (X11; U; Linux i686; en-US) AppleWebKit/532.0 (KHTML, like Gecko) Chrome/3.0.198.1 Safari/532.0

Y firefox sí (si quieres!):
Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.1) Gecko/20090707 Iceweasel/3.5 (Debian-3.5-1)
9 vierito5 // Aug 18, 2009 at 11:01 am

Para poner la banderita se miran strings en el User-Agent. Si la distribución lo ha modificado en su paquete con el nombre pues entonces se detecta.

En firefox se puede cambiar en el about:config la variable “general.useragent.vendor” y pones Debian, Gentoo o lo que sea y también hay algún addon por ahí para hacerlo más fácil.

Seguramente en chrome habrá algún sitio donde se pueda configurar pero lo desconozco.
10 Zerial // Aug 18, 2009 at 2:42 pm

jjaaja muy buena la representacion grafica “bug – feature”
11 jorge // May 9, 2010 at 8:52 pm

A ver si es cierto
traten de sacar mi contraseña
si la saben me la envian a leandroamil@hotmail.com

no podrán
12 vierito5 // May 9, 2010 at 10:24 pm

Me parece que no te has leído bien de qué va el post.

It should work…

Cuando cualquier trasto es útil