Во вторник, 14 декабря, команда разработчиков Joomla опубликовала срочное сообщение.
обновлять безопасность, закрытие уязвимости нулевого дня, открывающей злоумышленникам возможность удаленного выполнения кода.
Хакеры уже активно пытаются атаковать уязвимые сайты.
Что случилось
К сообщение Информационная безопасность компании Sucuri, этой ошибкой уже пользуются киберпреступники — свидетельства успешных попыток ее использования исследователям удалось найти еще 12 декабря.Лог-файлы веб-серверов взломанных сайтов содержали следующие строки:
В коде обработчика сеанса Joomla существует уязвимость, которая позволяет внедрять строки в синтаксис сериализованного сеанса через HTTP-заголовки User-Agent и X-Forwarded-For. «Эксплойт использует особенность MySQL при обработке символов utf8 из диапазона U+010000 — U+10FFFF. Если вы вставите строку, заканчивающуюся таким символом, MySQL обрежет данные.2015 Dec 12 16:49:07 clienyhidden.access.log Src IP: 74.3.170.33 / CAN / Alberta 74.3.170.33 – – [12/Dec/2015:16:49:40 -0500] “GET /contact/ HTTP/1.1″ 403 5322 “ http://google.com/ ” “}__test|O:21:\x22JDatabaseDriverMysqli\x22:3: .{s:2:\x22fc\x22;O:17:\x22JSimplepieFactory\x22:0: .
{}s:21:\x22\x5C0\x5C0\x5C0disconnectHandlers\x22;a:1:{i:0;a:2:{i:0;O:9:\x22SimplePie\x22:5:.
{s:8:\x22sanitize\x22;O:20:\x22JDatabaseDriverMysql\ x22:0:{}s:8:\x22feed_url\x22;s:60 :.
Это позволяет вам генерировать и записывать строку, содержащую пользовательские объекты PHP, в таблицу сеанса, не нарушая синтаксис.
При десериализации сеанса злоумышленника вызываются деструкторы классов Joomla, что приводит к выполнению произвольного кода.
Чтобы предотвратить усечение данных, вы должны использовать кодировку utf8mb4 в MySQL. По данным исследователей Sucuri, обнаруженные атаки осуществлялись со следующих IP-адресов:
- 74.3.170.33 (12 декабря);
- 146.0.72.83 (13 декабря);
- 194.28.174.106 (13 декабря);
Удаленное выполнение кода с использованием уязвимости Joomla
Члены сообщества пользователей платформы Metasploit на GitHub участвуют в режиме реального времени.
написание эксплойта к обнаруженной уязвимости Joomla. По последним данным, участникам удалось создать работающую модуль использовать уязвимость: 
Joomla 1.5 вышла в январе 2008 года, а это означает, что уязвимость присутствовала в этой и последующих версиях системы уже почти восемь лет. На данный момент нет данных о том, сколько сайтов и веб-ресурсов было скомпрометировано из-за эксплуатации этой уязвимости.
Как защитить себя
Уязвимость распространяется на версии Joomla с 1.5 по 3.4.5 включительно.Всем пользователям CMS необходимо обновить свою систему – это можно сделать Здесь .
Пользователям более старых неподдерживаемых версий 1.5.x и 2.5.x следует установить исправления, доступные на связь (инструкция по использованию фиксов представлена на английском языке Здесь ).
В качестве временной меры предосторожности исследователи Sucuri рекомендуют заменять потенциально опасные данные в заголовке HTTP User-Agent. Ниже приведен пример конфигурации веб-сервера Apache: RewriteCond %{HTTP_USER_AGENT} .
*\{.
* [NC]
RewriteRule .
* - [F,L]
Кроме того, эксперты Positive Technologies рекомендуют использовать специализированные средства защиты от киберугроз — например, межсетевой экран уровня приложений PT Application Firewall успешно отражает возможные попытки эксплуатации указанной уязвимости: 
Это не первый случай, когда исследователи безопасности обнаруживают уязвимости в CMS Joomla. В октябре 2015 года вышла версия 3.4.5 системы, в которой были устранены серьезные уязвимости (CVE-2015-7297, CVE-2015-7857, CVE-2015-7858), открывавшие возможности для злоумышленников, в том числе по внедрению SQL-инъекций.
Также напомним, что использование CMS с открытым исходным кодом не является гарантией безопасности, если вы не проверили эти коды на наличие уязвимостей.
В прошлом году специалисты Positive Technologies с помощью анализатора кода PT Application Inspector обнаружили множество ошибок в нескольких популярных CMS с открытым исходным кодом, включая Joomla, Shopos, Yii и Jahia, а также плагинах для Wordress. Анализ одного такого исследования, посвященного уязвимостям системы InstantCMS, мы опубликовано в начале года .
Теги: #joomla #CMS #уязвимости #информационная безопасность #o-day #информационная безопасность #Разработка сайтов #joomla
-
Луна Под Микроскопом
19 Oct, 24 -
Флеш-Игры, В Которые Стоит Поиграть
19 Oct, 24
