CERT-FI haavoittuvuustiedote 085/2010

3.6.2010

Päivitys Joomla!-julkaisujärjestelmään

Kohde:	- palvelimet ja palvelinsovellukset	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö	Lisätietoja
Hyväksikäyttö:	- tietojen muokkaaminen - luottamuksellisen tiedon hankkiminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Joomla! -julkaisujärjestelmästä on löytynyt XSS-tyyppinen haavoittuvuus, jonka avulla hyökkääjä voi saada suoritetuksi omaa javascript-koodiaan Joomla!-sovelluksen pääkäyttäjän oikeuksin. Näin hyökkääjä voi muun muassa hankkia luottamuksellista tietoa kohdejärjestelmästä, saada oikeudettomasti pääsyn järjestelmään tai muokata järjestelmän sisältöä. Haavoittuvuuden hyväksikäyttö vaatii, että hyökkääjä saa houkuteltua haavoittuvaan Joomla!-versioon ylläpito-oikeuksilla kirjautuneen käyttäjän seuraamaan hyökkääjän laatimaa linkkiä.

HAAVOITTUVAT OHJELMISTOT:

• Joomla! versio 1.5.17 ja aikaisemmat 1.5-sarjan versiot

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä Joomla! versioon 1.5.18

LISÄTIETOA:

• http://developer.joomla.org/security/news/314-20100501-core-xss-vulnerabilities-in-back-end.html
  

PÄIVITYSHISTORIA:

3.6.2010, kello 13.17: Julkaistu

Sivua päivitetty 03.06.2010

Tulostusversio