Bez najnowszych łatek łatwo stracić kontrolę nad witryną Joomla!

Na oficjalnych serwerach projektu Joomla! pojawiła się nowa, zaktualizowana wersja skryptu. Wszyscy administratorzy tego systemu do zarządzania treścią powinni jak najszybciej zaktualizować swoje witryny. Paczka ta łata krytyczne luki w zabezpieczeniach, które umożliwiają przejęcie sesji administratora i tym samym kontroli nad całą stroną internetową.

Dokładny opis znalezionych podatności znajdziemy na łamach bloga firmy Trustwave. Dziury umożliwiające wykonanie ataku znaleziono w wersjach od 3.2 wydanej jeszcze w 2013 roku, aż po 3.4.4, która jeszcze kilka dni temu była uznawana za wydanie stabilne i bezpieczne. Joomla! zaraz po Wordpressie drugim najpopularniejszym systemem zarządzania treścią na świecie. Szacuje się, że korzysta z niej ponad 2,8 miliona witryn. W zasadzie każda z nich może paść łupem atakującego i to bez większych przygotowań lub nakładów środków, błędy są bowiem dosyć trywialne.

Podatność typu SQL Injection odnaleziono w jednym z plików bazowych skryptu odpowiedzialnych za generowanie historii treści w panelu administracyjnym. System korzysta ze wzorca MVC i oddziela różne operacje, niemniej autorzy zapomnieli o pewnym istotnym problemie: plik co prawda jest umieszczony w katalogu panelu administracyjnego, ale przecież to nie oznacza, że użytkownik nie może wprowadzić jego adresu ręcznie. Dziurawy skrypt nie sprawdza natomiast uprawnień, a po prostu wykonuje operacje, jakie są zawarte w odpowiednim kontrolerze. Choć nie powinno to tak wyglądać, samo z siebie nie stanowiłoby jeszcze problemu.

Funkcja pozwalająca na wykonanie ataku zawiera zapytanie do bazy danych a jako jeden z argumentów przyjmuje dane wejściowe z pola typu select. Tu pojawia się problem: w tym konkretnym przypadku nie jest ono w żaden sposób filtrowane, bo metoda za to odpowiedzialna po prostu nie jest przygotowana na taki typu argumentu. Autorzy w ramach rozwoju swojego silnika najprawdopodobniej zapomnieli o tym, że wprowadzając nowe funkcje, należy uaktualnić także starsze odpowiedzialne za bezpieczeństwo.

W efekcie tego zaniedbania dowolny gość witryny może przejść na odpowiednio spreparowany adres, który przez wstrzyknięcie kodu do zapytania pobierze dane sesji administratora. Te umożliwiają natomiast dostanie się do panelu zarządzającego stroną i przejęcie nad nią kontroli. Na serwerach projektu znajdziemy już wersję 3.4.5, która łata zarówno ten błąd, jak i dwa inne związane z systemem uprawnień. Przykład ten jest także przestrogą dla innych programistów: pamiętajmy o tym, że dane wejściowe zawsze należy traktować jako potencjalnie niebezpieczne.

W związku z istotnością zagrożenia łatkę należy wgrać tak szybko, jak to tylko możliwe. Nie warto czekać, podobnie jak zrobiło to wielu administratorów sklepów internetowych korzystających z silnika Magento. W ich przypadku taka zwłoka doprowadziła do tego, że strony zaczęły odwiedzającym serwować szkodliwe oprogramowanie. Utrata zaufania użytkowników i klientów jest natomiast czymś znacznie gorszym niż kilku minut wymaganych do przeprowadzenia aktualizacji.