Tietoturva nyt!

13.4.2010

Haavoittuvat sisällönhallintajärjestelmien ja verkkokauppasovellusten lisäosat

Haavoittuvuudet sisällönhallintajärjestelmien lisäosissa vaarantavat koko järjestelmän turvallisuuden. Järjestelmän vaarantumisen lisäksi sillä ylläpidetyn www-palvelun käyttäjät voivat joutua tietämättään haittaohjelman uhreiksi.

Sisällönhallintajärjestelmien ja verkkokauppaohjelmistojen, kuten Joomlan ja osCommercen lisäosista löydetään jatkuvasti haavoittuvuuksia jotka asettavat palvelun ja sen käyttäjät vaaraan. Pelkästään viimeisen kahden viikon aikana internetissä haavoittuvuuksia seuraavilla sivustoilla on listattu useita kymmeniä hyväksikäyttömenetelmiä, jotka kohdistuvat sisällönhallintajärjestelmiin ja verkkokauppaohjelmistoihin tehtyihin lisäosiin. Useimmat hyväksikäyttömenetelmät ovat joko SQL injection- tai local- ja remote file inclusion -hyökkäyksiä.

Suuri osa nykyisistä hyökkäyksistä suoritetaan juuri SQL injection- sekä local- ja remote file inclusion-hyökkäyksiä käyttäen. SQL injection -hyökkäyksen avulla tietokannasta voidaan hakea tietoa, kuten käyttäjätunnuksia ja salasanoja. Local file inclusion -hyökkäyksellä voidaan päästä käsiksi palvelimen tiedostoihin joihin www-palvelun prosessilla on käyttöoikeus. Remote file inclusion -hyökkäystä käyttäen voidaan huijata palvelin suorittamaan toiselta palvelimelta haettavaa ohjelmakoodia. Murrettuja palvelimia voidaan käyttää esimerkiksi haittaohjelmien levittämiseen järjestelmän www-sivujen kautta.

Satunnaiselle selailijalle paras tapa suojautua murrettuja palvelimia vastaan on pitää selaimen lisäosat ja virustorjuntaohjelmisto päivitettynä. Palveluiden ylläpitäjien pitäisi puolestaan huolehtia siitä että sisällönhallintajärjestelmästä samoin kuin sen lisäosista on käytössä uusimmat versiot. Mikäli korjausta haavoittuvaan lisäosaan ei ole, kannattaa sen käyttöä rajoittaa tai jopa tilapäisesti poistaa käytöstä kunnes korvaava versio on käytössä tai päivitys on julkaistu.

Lisätietoa

http://www.joomla.org/
http://www.cert.fi/tietoturvanyt/2009/05/ttn200905291737.html
http://www.cert.fi/tietoturvanyt/2009/05/ttn200905182112.html

Sivua päivitetty 13.04.2010

Tulostusversio