Los servidores que cuentan con infraestructura digital (Framework) son, por defecto, vulnerables a ataques de código remoto.
Cientos de miles de sitios web están en riesgo potencial luego de que se descubriera una vulnerabilidad extremadamente crítica en la infraestructura digital (framework) de Ruby on Rails, que le da a atacantes remotos la habilidad de ejecutar código malicioso en los servidores que utilicen este sistema.
El “bug” está presente en las versiones de Ruby on Rails que se han distribuido durante los últimos seis años y en su configuración, por defecto, le da a los hackers una simple y confiable manera de robar los contenidos de las bases de datos, correr comandos de sistema, y causar que los sitios se caigan. De acuerdo a Ben Murphy, uno de los programadores que ha confirmado la vulnerabilidad, desde la semana pasada la plataforma digital (framework) se ha utilizado en más de 240.000 sitios web, incluidos Github, Hulu, y Basecamp, subrayando la seriedad de la amenaza. En Chile está plataforma es utilizada por cientos de empresas para crear sus sitios web.
“Es bastante grave”, dijo Murphy. “Un ataque puede mandar una petición a cualquier servidor Ruby on Rails y luego ejecutar comandos arbitrarios. Aunque es complejo, funcionará el 100% de las veces.
Murphy dijo que el “bug” deja abierta la posibilidad para diseñar ataques que causen que un sitio web con el sistema Rails busque e infecte a otros, creando un gusano que infecta a gran parte de internet a través de una reacción en cadena. Actualmente ya se encuentran trabajando en la creación de un módulo que pueda escanear internet buscando sitios vulnerables.
Ruby on Rails está pidiendo a sus usuarios actualizar sus sistemas con urgencia a las versiones 3.2.11, 3.1.10, 3.0.19 o 2.3.15. Aseguran que esta medida es relativamente inofensiva para la mayoría de los sitios, sin embargo podrían presentarse algunos problemas de lentitud en los sitios. Quienes no puedan actualizar su versión pueden protegerse deshabilitando XML o YAML.
Protegerse se hace cada vez más urgente, ya que este peligroso “bug” se expande por reacción en cadena y es extremadamente peligroso, porque permite a los criminales entrar directamente a los servidores y ejecutar códigos maliciosos.
Fuente: Widefense.com
RT @ebankingcl: Crítico “bug” en sistema Ruby on Rails amenaza a más de 200.000 sitios web: Los servidores que cue… http://t.co/lc0ODyiz