Un grupo de especialistas en ciberseguridad logró encadenar dos vulnerabilidades para tomar control de los tableros que ejecutan el software de foros en línea MyBB, ampliamente utilizado por sitios web de todo el mundo. Este reporte fue elaborado por Simon Scannel y Carl Smith, investigadores independientes.
Las fallas fueron corregidas después de que los desarrolladores recibieron el reporte, por lo que los expertos decidieron publicar mayores detalles sobre su hallazgo. Acorde a los expertos, el ataque consiste en encadenar una falla de inyección SQL y un ataque de scripts entre sitios (XSS): “Los foros de MyBB que ejecutan versiones entre 1.8.16 y 1.8.25 se ven afectados por estas dos fallas que pueden ser encadenadas para ejecutar código remoto en el sistema comprometido”, menciona el reporte.
El compromiso del sistema vulnerable es posible incluso sin que se realicen ataques previos en instalaciones de MyBB específicas. La primera falla, identificada como CVE-2021-27889, involucra serias deficiencias de seguridad en el proceso de renderizado de MyBB, lo que permite a los usuarios sin privilegios insertar cargas útiles almacenadas en publicaciones de estos foros.
Por otra parte, la segunda falla (CVE-2021-27890) está relacionada con una vulnerabilidad de inyección SQL para desencadenar la ejecución remota de código.
Los investigadores también descubrieron un mecanismo para combinar estas fallas y desencadenar la ejecución remota de código. Explotar las fallas es complicado, pero posible siempre que se pueda engañar a un administrador de MyBB específico para que abra un mensaje con trampa explosiva, como explican los dos investigadores.
Los actores de amenazas más avanzados pueden desarrollar un exploit para abusar de la falla XSS y posteriormente enviar un mensaje privado a un administrador vulnerable. Si el administrador objetivo abre este mensaje, el exploit será desencadenado. Las fallas fueron reveladas a MyBB el 22 de febrero, por lo que fue lanzado un parche de seguridad este 10 de marzo.
MyBB es un software de código abierto escrito en PHP y utilizado por alrededor de 10 mil sitios web. Las actualizaciones actualizadas recientemente también abordan cuatro fallas de menor gravedad, descubiertas por los equipos de seguridad de MyBB.
Finalmente, un representante del equipo de desarrollo de MyBB dijo que agradecía la oportunidad de trabajar con investigadores de seguridad antes de ofrecer su opinión sobre los problemas particulares descubiertos por Scannell y Smith: “La cadena de explotación corregida explota algunas áreas de debilidad relacionadas con el código heredado identificadas desde hace unos meses.”
Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).
Trabajando como arquitecto de ciberseguridad, el se enfoca en protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad con diferentes empresas. También tiene experiencia en diferentes industrias como finanzas, salud medica y reconocimiento facial.