El foro de Comodo es pirateado después de que la empresa no puede aplicar un parche de seguridad a tiempo

A menudo podemos decir en estas páginas la importancia de las actualizaciones de software, no solo por las nuevas características y mejoras de rendimiento, sino también por los parches de seguridad. El lunes, Comodo, que, irónicamente, es una empresa de seguridad, nos dio una historia que ilustra lo que podría suceder cuando dichos parches se retrasen no más de cuatro días. Sin embargo, antes de llegar al fondo del problema, debemos mencionar que el incidente no es realmente tan horrible.

No es la violación más grande del mundo.

Comodo publicó un breve aviso de seguridad diciendo que el 29 de septiembre, piratas informáticos desconocidos obtuvieron acceso a una base de datos que contenía la información de los usuarios de su foro. Se pudo acceder a un total de 245 mil registros, cada uno con un nombre, una dirección de correo electrónico, la dirección IP más reciente del usuario y una contraseña "encriptada".

A la luz de otros incidentes de seguridad recientes , algunos podrían verse tentados a clasificar esta violación en particular como insignificante. De hecho, la cantidad de datos que se puso en riesgo no es tan grande, y aunque el aviso es un poco escaso en detalles, hay pocas razones para creer que se haya expuesto información particularmente sensible.

Dicho esto, el mecanismo real de la intrusión es motivo de preocupación, ya que muestra que un nombre reconocible en la industria de la seguridad cibernética no ha podido establecer una política de actualización que pueda mantenerlo seguro (y a sus usuarios).

Una vulnerabilidad parcheada de vBulletin se encontraba en la parte inferior de la violación de datos

El 23 de septiembre, un investigador de seguridad anónimo reveló públicamente una vulnerabilidad de seguridad previamente desconocida en la quinta versión de vBulletin, un popular software de foro de Internet escrito en PHP. Rastreado como CVE-2019-16759, la falla es bastante aterradora por algunas muy buenas razones.

Primero, aunque fue etiquetado como "una vulnerabilidad de día cero", algunas personas lo sabían mucho antes de que se hiciera público. Como informó The Register en ese momento , los expertos decían que las hazañas habían estado en el mercado subterráneo durante años. En otras palabras, los ciberdelincuentes tienen un acceso relativamente fácil al código que puede comprometer miles de foros de vBulletin.

Además de esto, el ataque no es particularmente difícil de realizar. Explotar el agujero implica unas pocas líneas de código Python en una solicitud HTTP POST. Esas líneas ahora están disponibles públicamente.

Por último, pero no menos importante, el hecho de que CVE-2019-16759 sea un error de ejecución remota de código significa que les da a los piratas informáticos la oportunidad de hacer más o menos lo que quieran después de una explotación exitosa.

Debido a que el error es tan peligroso, los desarrolladores de vBulletin prepararon un parche bastante rápido. El 25 de septiembre, cuatro días antes del ataque contra Comodo, se lanzaron soluciones para todas las versiones vulnerables, y los expertos en seguridad instaron a todos a instalar los parches con urgencia. Comodo no estaba prestando atención, y los resultados ahora son evidentes. La compañía prometió crear y seguir una estricta política de actualización a partir de ahora, y los usuarios solo pueden esperar que cumpla su palabra. También pueden esperar que la próxima vez que tenga que lidiar con un incidente de seguridad, sus avisos sean un poco más claros.

Comodo causa cierta confusión con su aviso de violación de datos

El aviso de violación de datos se publicó en https://forums.comodo.com/ (los foros dedicados a Comodo y sus productos), y los 425 mil registros mencionados en él pertenecen a personas que usaron ese foro en particular. El moderador que publicó el aviso no intentó ocultar el hecho de que los atacantes explotaron CVE-2019-16759 para robar los datos, y esto dejó a algunas personas perplejas. Como algunos usuarios señalaron rápidamente , https://forums.comodo.com/ está construido con Simple Machines Forum, otro software de tablero de mensajes de Internet que no tiene nada que ver con vBulletin.

Luego, los moderadores tuvieron que explicar que los atacantes en realidad piratearon https://forum.itarian.com/ , un foro diferente que es propiedad de Comodo y se basa en vBulletin. Dado que https://forum.itarian.com/ y https://forums.comodo.com/ están alojados en el mismo servidor, los piratas informáticos tienen acceso no a una sino a dos bases de datos. El que estaba lleno de usuarios de https://forum.itarian.com/ aparentemente tenía algo más de 45 mil personas.

Incluso con la segunda base de datos, la violación no es particularmente horrible. Dicho esto, expone una verdad desafortunada sobre el estado actual de la ciberseguridad. Al igual que la reutilización de contraseñas desenfrenada entre los expertos en seguridad, este incidente muestra que incluso los profesionales no están dispuestos a confiar en sus propios consejos y seguir los principios de seguridad más básicos.