Los investigadores encuentran vulnerabilidades en el management remoto well-liked …



A medida que más estudiantes se mueven a plataformas de aprendizaje en línea, los investigadores de vulnerabilidades revelan fallas de seguridad en algunos complementos de program comunes.

Tres complementos populares de WordPress para el aprendizaje en línea tienen vulnerabilidades de software program significativas que podrían permitir a los atacantes acceder a la información de los estudiantes, robar dinero de los creadores de cursos o aumentar sus privilegios para convertirse en maestros, según un aviso publicado por la firma de seguridad Check out Place Software Systems.

Los investigadores de la compañía analizaron tres complementos populares, utilizados por decenas de miles de escuelas, empresas y sitios website, para proporcionar cursos en línea y capacidades de prueba. Descubrieron problemas críticos en cada plataforma, incluida la inyección SQL, las secuencias de comandos entre sitios y la capacidad ilimitada de cargar archivos. La compañía notificó a los creadores de los complementos y cada uno ha producido una versión parcheada, que cierra las vulnerabilidades en las plataformas actualizadas.

«Muchos cursos están utilizando complementos de WordPress porque hacen que sea muy fácil iniciar un sitio website y crear contenido», dice Omri Herscovici, líder del equipo de investigación de vulnerabilidades en Check out Level. «Y, obviamente, la situación de Corona ha elevado la importancia de estas plataformas, abriendo una superficie de ataque bastante grande».

El aprendizaje en línea ha recibido un gran impulso, ya que la mayoría de las escuelas de EE. UU. Han cancelado las clases en persona y han cambiado el aprendizaje en línea durante el resto del año escolar. Además, se instó a los trabajadores a quedarse en casa y evitar salir a medida que la economía empeora, recurren cada vez más a cursos en línea para adquirir nuevas habilidades.

Verify Point argumenta que la mayor popularidad del aprendizaje remoto conducirá a un mayor escrutinio por parte de los investigadores de vulnerabilidades.

«Estas plataformas de aprendizaje remoto abren un vector de ataque potencial, especialmente porque la mayoría de los trabajadores están accediendo a estas plataformas desde su hogar», dice Herscovici. «Y los investigadores en línea se están centrando en estas plataformas que usan los estudiantes, como lo han hecho con Zoom, para encontrar problemas de seguridad.

WordPress es un objetivo perenne popular para atacantes e investigadores de seguridad.

En los últimos cinco años, se han encontrado docenas de vulnerabilidades en la plataforma principal de WordPress. A medida que más investigaciones se han centrado en complementos populares para la plataforma, las vulnerabilidades se han disparado, superando los más de 1,000 problemas encontrados el año pasado, de acuerdo con la foundation de datos nacional de vulnerabilidad.

Los complementos de aprendizaje en línea específicos investigados por Examine Place: LearnPress, LearnDashy LifterLMS – son utilizados por más de 100,000 escuelas, organizaciones y creadores de contenido. Cada uno de los complementos tiene al menos una vulnerabilidad, que la compañía encontró durante su esfuerzo de investigación de dos semanas, incluida la carga sin restricciones de archivos en LifterLMS (CVE-2020-6008), vulnerabilidades de inyección SQL en LearnDash (CVE-2020) -6009) y LearnPress (CVE-2020-6010), y una vulnerabilidad sin parche descubierta previamente en LearnPress que podría permitir que un estudiante se convierta en maestro (CVE-2020-11511).

«Justo antes de lanzar el web site descubrimos que esta vulnerabilidad period un duplicado y también descubierto por Wordfence, «Punto de command declarado en su aviso. «Ambas vulnerabilidades que informamos (a LearnPress) recibieron el mismo tratamiento del autor: las funciones vulnerables se eliminaron por completo de la nueva versión parcheada. Un caso clásico de &#39el mejor código es ningún código&#39».

Las tres plataformas parecen tener, en su mayor parte, escapado de la atención de los investigadores de vulnerabilidades. Solo un puñado de CVE se han asignado a las plataformas desde 2018, y no existen fallas de seguridad publicadas antes de ese año en la Foundation de datos de vulnerabilidad nacional.

La relativa falta de auditoría de seguridad puede estar cambiando. En marzo, el servicio de seguridad cibernética Astra encontró una falla de scripting entre sitios en LearnDash (CVE-2020-7108) El año pasado, LifterLMS reparó una vulnerabilidad (CVE-2019-15896) que podría haber permitido crear cuentas de administrador.

«El alcance de estas vulnerabilidades demuestra por qué los procesos de adquisición deberían incluir un paso de verificación de seguridad», dijo Tim Mackey, estratega principal de seguridad de la firma de seguridad de aplicaciones Synopsys, en un comunicado enviado a Dark Reading. «Ese paso de verificación debe buscar vulnerabilidades latentes o sin parches, pero también buscar debilidades en la configuración y susceptibilidad a ataques. Si bien nos encantaría aceptar que todos los proveedores apliquen revisiones de seguridad estrictas al código que publican, la realidad es que esas prácticas varían considerablemente entre organizaciones, y los defectos se escapan «.

Test Stage no investigó los principales servicios de cursos en línea, como Coursera, edX y Udemy, que no utilizan computer software disponible públicamente, por lo que no se pueden probar sin permiso. Debido a su tamaño, Herscovici argumenta que es possible que hayan analizado y probado su software program.

«No conozco su calidad de construcción, pero la mayoría de estas plataformas son grandes, por lo que probablemente hayan tenido auditorías de seguridad», dice.

Herscovici espera que la publicación de Check out Point de los detalles de la vulnerabilidad reciente lleve a los desarrolladores de los complementos y a los creadores de cursos a tomar la seguridad cibernética más en serio.

«Queríamos crear conciencia para asegurarnos de que sus sistemas de aprendizaje sean seguros», dice. «Es su responsabilidad asegurarse de proteger completamente a los clientes».

Contenido relacionado:

Revisa El borde, La nueva sección de Darkish Looking through para características, datos de amenazas y perspectivas en profundidad. La historia principal de hoy: «Seguridad electoral en la period de la distancia social«.

Periodista de tecnología veterano de más de 20 años. Ex ingeniero de investigación. Escrito para más de dos docenas de publicaciones, incluidas CNET News.com, Darkish Studying, MIT&#39s Technological innovation Critique, Common Science y Wired News. Cinco premios para el periodismo, incluyendo Mejor fecha límite … Ver biografía completa

Más ideas





Enlace a la noticia first