CSIRT Panam\u00e1 Aviso 2014-06- Denegaci\u00f3n de Servicio en Drupal y WordPress
\nGravedad: ALTA
\nFecha de publicaci\u00f3n: Agosto 11, 2014
\nFecha de modificaci\u00f3n: Agosto 11, 2014
\n\u00daltima revisi\u00f3n: Revisi\u00f3n A.
\nFuente: CSIRT Panam\u00e1<\/p>\n
Sistemas afectados<\/p>\n
WordPress 3.5 \u2013 3.9
\nDrupal 6.x \u2013 7.x<\/p>\n
I. Descripci\u00f3n
\nLas versiones de los manejadores de contenido mencionados, WordPress 3.5 \u2013 3.9 y Drupal 6.x \u2013 7.x; incluyen un XML-RPC (protocolo de llamada a procedimiento remoto) p\u00fablico (xmlrpc.php). El parser XML de PHP utilizado por este XML-RPC es vulnerable a un ataque de expansi\u00f3n de entidad XML u otros ataques relacionados. Esta vulnerabilidad puede causar el agotamiento de recursos (CPU y memoria) en el sistema afectado, causando finalmente una negaci\u00f3n de servicio (DoS) al sitio.<\/p>\n
II. Impacto
\nVector de acceso: A trav\u00e9s de red.
\nComplejidad de Acceso: Media.
\nAutenticaci\u00f3n: No requerida para explotarla.
\nTipo de impacto: Compromiso total de la integridad del sistema + Compromiso total de la disponibilidad del sistema.<\/p>\n
III. Detecci\u00f3n
\nRevisar la versi\u00f3n de los manejadores de contenidos utilizados por su organizaci\u00f3n o instituci\u00f3n.
\nVersiones vulnerables:<\/p>\n
III. Mitigaci\u00f3n
\nActualizar el software<\/p>\n
Se recomienda actualizar a la \u00faltima versi\u00f3n de los manejadores de contenido.
\nLa \u00faltima versi\u00f3n de WordPress es la 3.9.2.
\nSi usted utiliza Drupal 7.x actualice a N\u00facleo Drupal 7.31.
\nSi usted utiliza Drupal 6.x actualice a N\u00facleo Drupal 6.33.<\/p>\n
Si no es posible instalar la \u00faltima versi\u00f3n de los manejadores de contenido inmediatamente, usted puede de forma alternativa; remover el archivo xmlrpc.php de la ra\u00edz del n\u00facleo de Drupal (o agregar una regla a .htaccess para prevenir el acceso al archivo xmlrpc.php) y desactivar el m\u00f3dulo OpenID. Estas recomendaciones son suficientes para mitigar la vulnerabilidad en el n\u00facleo de Drupal si su sitio web no requiere la utilizaci\u00f3n del XML-RPC o la funcionalidad de OpenID.\u00a0Cabe destacar, si su sitio web utiliza un m\u00f3dulo que expone el API del XML-RPC en una URL diferente; entonces usted deber\u00e1 considerar actualizar su manejador de contenido.<\/p>\n
IV. Informaci\u00f3n adicional
\n[1] https:\/\/wordpress.org\/news\/2014\/08\/wordpress-3-9-2\/
\n[2] https:\/\/www.drupal.org\/SA-CORE-2014-004
\n[3] http:\/\/www.breaksec.com\/?p=6362<\/p>\n
IV. Informaci\u00f3n de contacto
\nCSIRT PANAMA
\nAutoridad Nacional para la Innovaci\u00f3n Gubernamental
\nE-Mail: info@cert.pa
\nWeb: https:\/\/www.cert.pa<\/p>\n
—–BEGIN PGP PUBLIC KEY BLOCK—–
\nVersion: GnuPG v2.0.17 (MingW32)<\/p>\n
mQENBE8C9KoBCAClkvrtdD08B1YgIntnK241GmWY7fRWtPn\/QIEG1+TLokEuOhw+
\nGq\/lK\/4NP9RzqpD57LcRUBiGgTmO\/5C9xkhVmxz2jid0h03fLorC84rAk2pOjr0i
\npbltETq9RCGhOWp13OV22x2yiIedBi05bzw3F+uLHhn9xKjmpBuZB6WO\/TuD52DH
\nKRZtwSvoaa61vL0bGnIf3lNGWkALWEC3lGBppby4D05N2FNfgfOFr1yOpxTaRaDh
\n4kOnoAEWVzppkTPyqSOkwXmgdma8D9yqD41Ffu8ypGTv+OOVO7jDq8tx9wVZEU+w
\npqBTzQcf0P0K7qO3igdHQxqHmqXsaJpbmvCBABEBAAG0KkNTSVJUIFBhbmFtYSAo
\nQ1NJUlQgUGFuYW1hKSA8aW5mb0BjZXJ0LnBhPokBOAQTAQIAIgUCTwL0qgIbDwYL
\nCQgHAwIGFQgCCQoLBBYCAwECHgECF4AACgkQ2YlXchbysSSPSQgAooUy3qSR\/YX2
\nH3USJ5VzrmnraHg5LIWRPIBD1PGrswjLE8hxdobPU\/uzi9LWnEcDscfFVKM\/K0Jt
\nbjeoESqCVFlpE0YXJWdDhy0m2WM410sDE2HVXbPhWGqrNeDb0VUV\/LWag1yYTj5w
\nkkxma4Tk5TqlhgL5su2PpjtTdFSHYD4N+4mu7g1GhRrrpz+u7ZRm3b\/WkAJg5FIg
\nU0MpPqUGAF5\/pc02ZB10FdxDwWyXAkwYUN+zfLiKzKOrBGkEw9+jvFGU+z76P9Zk
\n1XJIexpmkBYTxc+TOclhAp\/3HP4taoBHRMoR1q1YhdC++UgRSLmPLGn\/AB707JzN
\nQ80++q2kWQ==
\n=JUYg
\n—–END PGP PUBLIC KEY BLOCK—–<\/p>\n","protected":false},"excerpt":{"rendered":"
CSIRT Panam\u00e1 Aviso 2014-06- Denegaci\u00f3n de Servicio en Drupal y WordPress Gravedad: ALTA Fecha de publicaci\u00f3n: Agosto 11, 2014 Fecha de modificaci\u00f3n: Agosto 11, 2014 \u00daltima revisi\u00f3n: Revisi\u00f3n A. Fuente: CSIRT Panam\u00e1 Sistemas afectados WordPress…<\/p>\n","protected":false},"author":4,"featured_media":295,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"_uf_show_specific_survey":0,"_uf_disable_surveys":false,"footnotes":""},"categories":[4],"tags":[8,14],"class_list":["post-300","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-avisos-de-seguridad","tag-avisos","tag-wordpress"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/300","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=300"}],"version-history":[{"count":1,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/300\/revisions"}],"predecessor-version":[{"id":301,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/300\/revisions\/301"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/media\/295"}],"wp:attachment":[{"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=300"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=300"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=300"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}