La distribución de Linux Gentoo sufre un ataque en su cuenta principal de GitHub

Atacantes desconocidos comprometen durante unas horas la cuenta de GitHub de Gentoo utilizada como reserva de código fuente perteneciente al sistema de paquetería de la distribución

Ocho horas, desde las 20:20 (UTC) del 28 de junio hasta las 04:26 del día siguiente. Esta fue la ventana de tiempo que tuvieron los atacantes para introducir código malicioso en la cuenta de GitHub. Código malicioso que tenía como objetivo borrar todos los archivos del sistema donde se ejecutase, a través de archivos usados por el sistema de paquetería. Los archivos modificados para contener código malicioso son los llamados “ebuilds”, que no son más que archivos de texto con información sobre una pieza de software concreta, especificando el nombre, el autor, cómo se debe construir el software a partir del código fuente y otras librerías…

Por suerte, la repercusión final del ataque es bastante limitada. Lo primero que pone freno a la efectividad del ataque es que el código malicioso no funciona tal y como está, probablemente por un fallo en la programación por parte de los atacantes. Y lo segundo es que la cuenta de GitHubcomprometida se usa como espejo, y no es la infraestructura principal usada por defecto por el sistema de paquetería. La principal está en servidores controlados directamente por la organización de Gentoo.

Otra medida de protección que se puede deducir del comunicado oficial de Gentoo es la verificación de los commits (unidades de actualización de código usadas en repositorios de código como Git). Cada vez que un desarrollador de Gentoo sube código al repositorio a través de un commit, ese commit va firmado por él, y el comunicado da a entender que los commitsconteniendo código malicioso no venían firmados por desarrolladores de Gentoo.

Saber si estás afectado es bastante simple: si has usado esa cuenta de GitHub en los últimos días, es probable que hayas descargado código malicioso. Pero según comentaban, el código no funcionaba. Así que bastaría con sincronizar usando la infraestructura principal en vez de la cuenta de GitHub, para que los paquetes con ebuilds modificados para incluir código malicioso se sobreescriban con versiones buenas, y posteriormente poder reinstalar los paquetes instalados en los últimos días.

Más información:
 
Github Gentoo organization hacked
https://www.gentoo.org/news/2018/06/28/Github-gentoo-org-hacked.html

Hostile takeover of our github mirror. Don’t use ebuild from there until new warning!
https://archives.gentoo.org/gentoo-dev/message/03df77a347ec75a9b1ceaab3a2f76ee8

ebuild
https://wiki.gentoo.org/wiki/Ebuild

Vulnerabilidad en WordPress permite a un atacante obtener control total sobre el sitio web en segundos

Un fallo en una de las funciones principales permite borrar cualquier archivo del servidor

https://unidad22.com/wp-content/uploads/2017/02/Wordpress_Security_-_Prevent_your_WordPress_Website_from_Getting_Hacked.jpg

La vulnerabilidad descubierta por RIPS Technologies permite a un usuario con pocos privilegios secuestrar todo el sitio web y ejecutar código arbitrario en el servidor.

El equipo de seguridad de WordPress fue informado del fallo hace 7 meses, pero no se corrigió y afecta a todas las versiones, incluida la actual.

La vulnerabilidad reside en una de las funciones de WordPress que se ejecuta en segundo plano cuando un usuario elimina permanentemente la miniatura de una imagen cargada. Esta acción acepta entradas de usuarios no optimizadas, que permiten a un usuario con privilegios limitados eliminar cualquier archivo del alojamiento web.

El único requisito para explotar el fallo es tener al menos una cuenta de autor, lo cuál reduce la gravedad del problema hasta cierto punto.

Eliminando por ejemplo el archivo wp-config.php, que es uno de los archivos más importantes en la instalación de WordPress, podría obligar a todo el sitio web a volver a la pantalla de instalación permitiendo al atacante reconfigurar el sitio web desde el navegador y tomar su control por completo.

Vídeo demostrativo:

Algo a tener en cuenta es que el atacante no puede leer directamente el contenido del archivo wp-config que contiene el nombre de la base de datos, el usuario de base de datos y la contraseña del mismo, pero sí que puede configurar el sitio especificando un servidor de base de datos remoto bajo su control.

Esperamos que el equipo de seguridad de WordPress arregle esta vulnerabilidad en la próxima versión de su software.