Beiträge von Roesi

    https://portswigger.net/daily-…to-full-system-compromise


    Habe es mal übersetzen lassen im Firefox:


    Doppelte Schwachstellenkombination im beliebten CMS Joomla könnte zu einer „vollen Systemkompromittierung“ führen


    AKTUALISIERT Sicherheitsforscher haben die Details von zwei enthüllt, Schwachstellen in Joomla – dem beliebten Content-Management-System – die, wenn sie miteinander verkettet werden, ihrer Meinung nach verwendet werden könnten, um eine vollständige Systemkompromittierung zu erreichen.


    Die beiden Sicherheitslücken – eine Sicherheitslücke zum Zurücksetzen von Passwörtern und ein gespeicherter Cross-Site-Scripting- (XSS)-Fehler – wurden beide von Sicherheitsforschern bei Fortbridge entdeckt und im Februar bzw. März verantwortlich an die Entwickler von Joomla weitergegeben.

    Spezifische Konfiguration


    Nach einigen Verzögerungen hat Joomla mit der Version 3.9.27 des CMS ( einen Patch für die XSS-Schwachstelle veröffentlicht veröffentlicht im Mai) . Die (wohl weniger schwerwiegende) Sicherheitslücke beim Zurücksetzen des Passworts kann mit einer „ gemildert werden trusted_hosts Konfiguration von “ .


    Diese Passwort-Schwachstelle ist laut Fortbridge noch nicht gepatcht, was Joomla-Benutzern rät, die " $live_site Variable " in der Datei configuration.php als Workaround zu setzen, bis ein Patch für das Problem mit dem Zurücksetzen des Passworts geliefert wird.


    Laut Joomla erfordert diese HOST-Header-Injection-Schwachstelle jedoch "extrem spezifische Umstände", die in der Joomla-Community "extrem ungewöhnlich" sind, um ausgenutzt werden zu können.

    Kombinationsangriff


    Die beiden Schwachstellen in Joomla sind beide hochgradig und „wenn sie miteinander verkettet sind, ermöglichen sie einem Angreifer, eine Joomla-Website vollständig zu übernehmen“, sagte Adrian Tiron, geschäftsführender Gesellschafter bei Fortbridge, gegenüber The Daily Swig .


    „Sobald der Angreifer vollen Zugriff auf die Joomla-Website hat, können [sie] eine PHP-Shell hochladen, die es [ihnen] ermöglicht, Befehle auf dem Server auszuführen“, warnte Tiron.


    Informieren Sie sich über die neuesten Nachrichten aus der Sicherheitsforschung


    Die erste Schwachstelle ermöglicht es dem Angreifer, das eines Administrators zurückzusetzen Passwort .


    Tiron erklärte: „Der Angreifer löst den Vorgang zum Zurücksetzen des Passworts aus und kann den Link zum Zurücksetzen des Passworts so manipulieren, dass er auf den Server des Angreifers verweist, wo [sie] das Token des Opfers erfassen und [ihr] Passwort zurücksetzen, sobald das Opfer auf den Link oder den Link klickt wird von einer AV/EDR-Scanlösung [Antivirus/Endpoint Detection and Response] abgerufen.


    „Sobald der Angreifer in der Lage war, das Passwort des Administrators zurückzusetzen und Administratorrechte erhalten hat, [sie] nutzen die zweite Schwachstelle, ein gespeichertes XSS, um den ‚Super Admin‘-Benutzer anzugreifen.“


    Durch die Ausweitung der Privilegien auf 'Super Admin' kann ein Angreifer vollen Zugriff und die Möglichkeit erhalten, einen Remote Code Execution (RCE)-Angriff gegen ein anfälliges Joomla-CMS auszuführen, warnt Fortbridge.


    Als Antwort auf Fragen von The Daily Swig gaben die Entwickler von Joomla eine detaillierte Erklärung ab, in der sie die angebliche Schwere der von Fortbridge entdeckten Fehler bestritten:


    Fortbridge hat zunächst zwei separate Probleme gemeldet:


    1. eine sogenannte HOST-Header-Injection


    2. ein Angriffsvektor, der letztendlich zu einem XSS-Angriff führen würde, während er die Existenz eines privilegierten, aber nicht Super-Admin-Kontos auf der Joomla-Installation erfordert requiring


    Der XSS-Vektor wurde in Joomla 3.9.27 korrigiert.


    Die HOST-Header-Injection erfordert extrem spezifische Umstände, um ausgenutzt werden zu können, nämlich ein Webserver-Setup mit entweder:


    a) keine vhosts konfiguriert werden oder


    b) eine Joomla-Installation, die sich im konfigurierten Standard-vhost befindet


    Ein solches Setup ist in der Joomla-Community äußerst ungewöhnlich, da die überwiegende Mehrheit der Sites in Shared-Hosting-Umgebungen ausgeführt wird, in denen diese Bedingungen nicht erfüllt sind.


    Aber selbst wenn eine Joomla-Site in einer solchen Umgebung läuft, kann eine Joomla-Site bereits geschützt werden, indem das vorhandene $live_site Konfigurationsflag in der configuration.php verwendet wird.

    Wider lessons


    Fortbridge hat eine detaillierte technische Zusammenfassung diese Woche seiner Ergebnisse veröffentlicht. Der zugehörige Proof-of-Concept-Code wurde auf GitHub veröffentlicht .


    Joomla ist mit mehr als 1,5 Millionen Installationen weltweit eine der beliebtesten CMS-Plattformen. Fortbridge stieß bei einem Penetrationstest auf die Fehler, die es in der Plattform entdeckte.


    Abgesehen von der Bedeutung der Ergebnisse an sich bieten sie anderen Entwicklern Lektionen, so Tiron von Fortbridge.


    Zum einen wäre der gespeicherte XSS-Fehler durch die Verwendung von Zulassungslisten anstelle von Sperrlisten vermeidbar gewesen. Zweitens vermeiden Sie das Passwort-Reset-Links mit Erstellen von $_SERVER['HTTP_HOST'] / $_SERVER['SERVER_NAME'] , da diese "Variablen tatsächlich Benutzereingaben sind", riet Tiron.


    Diese Geschichte wurde aktualisiert, um zu verdeutlichen, dass das Problem mit dem Zurücksetzen des Passworts laut Sicherheitsforschern von Fortbridge ungelöst bleibt, und um einen Kommentar von Joomla hinzuzufügen, der dies und die allgemeine Schwere der Mängel bestreitet.

    Die einzige Frage ist: wofür brauchst du einen anderen Editor als den Tiny Mambot? Ich staune eh, dass noch irgendwo eine 1.0 unversehrt in Betrieb ist 8| .

    In einem Intranet ohne Probleme möglich.
    Nicht alle Joomla sind ans Internet angebunden.

    Hallo,


    ich will auf meiner Seite eine Besucherstatistik haben und wollte das mit Matomo bewerkstelligen. Mit Piwik hatte ich das schonmal am laufen aber mit Matomo bekomme ich das nicht hin.


    Weiß da jemand Rat ? Hab den Tracking Code im Plugin eingetragen aber keine Besucherzahlen werden gezählt.

    Das dauert erst mal. Gleich nach dem installieren des Plugins sind noch keine Daten erhoben worden.

    In der FB-Gruppe gibt es die gleiche Frage und dort wird konkrete Hilfe angeboten - evtl. schaust Du dort mal rein.

    Wenn zwei den selben Fehler melden, wird er ja noch öfter auftreten.

    Das ist super das Du eine Quelle nennst wo es eine Lösung gibt.

    Aber, ich weis jetzt kommt das aber.

    Facebook ist keine echte Quelle um Wissen speichern zu können. Außerdem hat nicht jeder einen Login dafür.

    Bitte die Lösung einfach hier rein schreiben und alle haben etwas davon.

    Blogs gehen gar nicht.

    Wenn man Beitrage mit dem Builder macht sehen die komplett chaotisch nachher aus.

    Da gibts dann auch die ganzen Joomla Funktionen nicht mehr wie Weiterlesen, Inhaltsverzeichnis, Beitragsbild........