miniOrange's Google Authenticator <= 5.4.52 - Unauthenticated Arbitrary Options Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin miniOrange's Google Authenticator, que permite la eliminación no autenticada de opciones arbitrarias. Esta falla, catalogada con una puntuación CVSS de 8.1, puede comprometer la configuración del plugin y, por ende, la seguridad del sitio web.

Contexto técnico

El fallo se origina en una falta de validación adecuada de las solicitudes, permitiendo que un atacante elimine configuraciones del plugin sin necesidad de autenticación previa. Esto afecta la superficie de ataque al permitir manipulaciones en la configuración del sistema de autenticación de dos factores.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la desactivación del sistema de autenticación de dos factores, lo que incrementa el riesgo de accesos no autorizados y puede resultar en la pérdida de datos o en la toma de control del sitio web por parte de un atacante.

Vector de explotación

Generalmente, los atacantes aprovechan esta vulnerabilidad enviando solicitudes maliciosas a la API del plugin, lo que les permite eliminar configuraciones sin necesidad de estar autenticados.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 5.5 o superior, donde se ha corregido esta vulnerabilidad. Además, es aconsejable revisar las configuraciones del plugin y aplicar medidas de seguridad adicionales, como la implementación de firewalls y restricciones de acceso.

Señales de detección

Señales de posible explotación incluyen registros de solicitudes inusuales a las rutas del plugin relacionadas con la eliminación de opciones, así como cambios inesperados en la configuración del plugin.

Alcance afectado

Las versiones del plugin miniOrange's Google Authenticator hasta la 5.4.52 son las afectadas. Cualquier instalación que utilice estas versiones está en riesgo.