Ranljivost Joomle 2.5.4 vseh verzij pred 2.5.x

Tweet

SI-CERT nas je opozoril na ranljivost odprtokodnega sistema Joomla oz. v tem primeru v kombinaciji s temo za ta sistem z imenom bluestork. Vse uporabnike odprtokodnega sistema Joomla in še posebaj tiste, ki imate verzijo pred 2.5.x prosimo, da nemudoma posodobite vaš sistem in po možnosti zamenjate temo. Navadno je tema naložena v mapi /public_html /administrator/templates/bluestork. Spodaj kopiramo še obvestilo s strani SI-CERT-a, ki v zadnjem času zelo dobro skrbi in pomaga v boju proti hackerjem zato se jim zahvaljujemo. Uporabnike teh sistemov pa prosimo, da redno posodabljajo odprtokodne skripte in pazijo kaj dodajajo v te sisteme. Nemalokrat je namreč malomarnost, da žal moramo uporabiti besedo malomarnost, krivec za vdore in uspešno "kariero" hackerjev, ker uporabniki ne sledijo posodobitvam odprtokodnih sistemov.

POROČILO SI-CERT:
Pri analizi vdora v sisteme, ki so bili udeleženi v napadu, smo ugotovili, da napadalec preko ranljivosti Joomla CMS sistema odloži skripte v predlogo, locirano v mapu /administrator/templates/bluestork, skripte pa mu omogočajo izvajanje ukazov na strežniku in proženje različnih napadov z zavrnitvijo storitve (denial-of-service).

Na analiziranem sistemu smo v zgoraj navedeni mapi našli naslednje datoteke:

- error.php
- confgic.php
- cwest.php
- stmdu.php
- themess.php

Ranljivosti, ki jih napadlci izkoriščajo na Joomla CMS sistemu, so opisane v spodnjih dokumentih:

http://developer.joomla.org/security/news/470-20120601-core-privilege-escalation.html
http://developer.joomla.org/security/news/395-20120303-core-privilege-escalation.html

Gre torej za izkoriščanje možnosti odprte prijave in ranljivosti Joomla CMS za ustvarjanje novega uporabniškega računa s privilegiji administratorja.

Prosimo vas, da ustrezno ukrepate. Svetujemo vam, da storite vsaj naslednje
korake:

- identificirate podtaknjene datoteke in jih odstranite,
- poiščite datoteke, ki so bile nameščene v zadnjem tednu dni
(recimo z ukazom "find . -mtime -7" v korenski mapi CMS sistema)
- če med preiskavo najdete še datoteke, ki niso navedene v zgornjem spisku,
nam jih prosim takoj posredujte na naslov cert@cert.si,
- preglejte dnevniške zapise spletnega strežnika, da identificirate
IP naslov storilca in nam tega pošljite na naslov cert@cert.si,
- posodobite Joomla CMS sistem na zadnjo različico veje,
- pregledate Joomla CMS za morebitno prisotnost novonastalih uporabnikov.

Več informacij je na voljo tudi v obvestilu na naši spletni strani: https://vni.si/fffe