Un agujero en DNN: 750.000 sitios web, en peligro
El popular sistema de gestión de contenidos (CMS) Dotnetnuke (DNN), desarrollado sobre la plataforma de Microsoft, se ha visto afectado por una vulnerabilidad crítica. Se trata de una vulnerabilidad de scripting entre sitios (XSS), que permite a los atacantes secuestrar las sesiones de los administradores y hacerse con el control total de los servidores web. Hay unos 750.000 sitios web en todo el mundo expuestos al riesgo. Y no, no es otra alarma del tipo «todo está perdido»: es una amenaza real que los expertos en ciberseguridad ya han calificado de «seña de identidad de un ataque sofisticado».
El problema. La vulnerabilidad de tipo XSS almacenado se descubrió en Dotnetnuke, una de las soluciones de código abierto más populares para crear sitios web con ASP.NET. Permite a un atacante insertar código malicioso directamente en las páginas del sitio. Si un administrador abre por accidente —o no— una página infectada, el atacante puede secuestrar sus cookies de sesión. Y luego, como en una mala película: acceso total al panel de control, cambio de contraseñas, instalación de puertas traseras y control absoluto del servidor.
Por qué es peligroso. DNN no se utiliza solo en blogs pequeños, sino también en grandes portales corporativos, organismos públicos y plataformas educativas. 750.000 sitios no son ninguna broma. Si al menos una parte de ellos no recibe a tiempo una actualización de seguridad, podríamos presenciar una oleada de ataques masiva. Los expertos subrayan: «La concatenación de vulnerabilidades es un rasgo distintivo de un ataque sofisticado». Una sola brecha XSS puede ser el primer eslabón de una cadena que termine comprometiendo toda la infraestructura.
Qué hacer. Los desarrolladores de DNN ya han publicado un parche que corrige la vulnerabilidad. Se recomienda encarecidamente a los administradores de sitios web que actualicen el sistema a la última versión. No conviene demorarse: en la dark web ya se habla activamente de posibles exploits y es cuestión de tiempo que aparezcan en abierto.
La magnitud del desastre. Si tienes un sitio web con DNN, estás en riesgo. Si eres usuario de uno de esos sitios, también estás expuesto, aunque indirectamente. Un atacante puede insertar en un sitio comprometido un script malicioso que robe datos de los visitantes: nombres de usuario, contraseñas y datos bancarios. Los ciberdelincuentes no duermen, y 750.000 sitios web son un campo de pruebas ideal para sus actividades.
Veredicto. Esta historia vuelve a recordarnos que hasta el software popular y probado puede tener vulnerabilidades críticas. Ignorar las actualizaciones de seguridad es jugar a la ruleta rusa con tu sitio web. Y en juego está perder por completo el control del servidor.
PEREC.RU
¡Qué bonito! Microsoft, grande y temible, vuelve a hacerle un «regalo» al mundo: esta vez, su obra maestra de código abierto, Dotnetnuke. Pensadlo bien: ¡750.000 sitios web, todo un ejército de víctimas potenciales! Y todo por un pequeño agujero XSS. ¿Cómo se les pudo pasar que un simple script permitía secuestrar la sesión de un administrador y hacerse con el servidor en un abrir y cerrar de ojos?
Por lo visto, los desarrolladores de DNN decidieron que la seguridad era una opción de pago. O simplemente confiaban en que los administradores serían lo bastante perezosos como para no revisar el código en busca de vulnerabilidades. Spoiler: así ha sido. Ya corren rumores de exploits por la dark web y aguardamos con el corazón en un puño a que empiece la «cosecha» masiva.
Pero lo más gracioso es la reacción de los «expertos». Se ponen estupendos y pontifican sobre la «concatenación de vulnerabilidades» y las «señales de un ataque sofisticado». Venga ya, es lo de siempre: un agujero, una cadena, un servidor comprometido. Nada de magia: descuido y recortes en seguridad. Bienvenidos a la realidad, donde 750.000 sitios web penden de un hilo y «hay un parche, pero ¿llegarán a tiempo?» no es una pregunta retórica, sino un diagnóstico.
