WordPress Core < 4.0.1 - Denial of Service via Long Password

Resumen ejecutivo

Se ha identificado una vulnerabilidad de denegación de servicio en el núcleo de WordPress en versiones anteriores a la 4.0.1. Esta vulnerabilidad permite a un atacante provocar un fallo en el sistema mediante contraseñas excesivamente largas.

Contexto técnico

El fallo se encuentra en la forma en que WordPress maneja las contraseñas largas, lo que puede resultar en un consumo excesivo de recursos del servidor. Esta vulnerabilidad afecta principalmente a la autenticación y al proceso de inicio de sesión.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a una denegación de servicio, afectando la disponibilidad del sitio web y potencialmente causando pérdidas económicas y reputacionales para los negocios que dependen de su presencia en línea.

Vector de explotación

Un atacante puede explotar esta vulnerabilidad enviando solicitudes de inicio de sesión con contraseñas que exceden el límite razonable, lo que puede provocar que el servidor se vuelva inestable o se bloquee.

Mitigación recomendada

Actualizar a la versión 4.0.1 o superior de WordPress. Además, se recomienda implementar medidas de limitación de intentos de inicio de sesión y monitorizar el tráfico inusual en el sitio.

Señales de detección

Señales de riesgo incluyen un aumento inusual en los intentos de inicio de sesión fallidos, así como un uso elevado de recursos del servidor durante esos intentos.

Alcance afectado

Todas las instalaciones de WordPress anteriores a la versión 4.0.1 son susceptibles a esta vulnerabilidad, siendo la versión 3.7.5 la última que corrige este problema.