Поддържащите системата за управление на съдържание Joomla издадоха нова версия

Поддържащите системата за ръководство на наличие Joomla издадоха нова версия на платформата под номер 3.8. Тя носи със себе си повече от 300 усъвършенствания , като запушва и две съществени уязвимости, едната, от които може да бъде употребена за разкриване на данните за регистриране на админа на ресурса под ръководството на известния CMS.

Специалисти по осведомителна сигурност са разкрили, че версиите сред 1.5 и 3.7.5 са наранени от евентуално сериозен проблем в случаите, в които се употребява LDAP автентикация . Технологията се употребява за достъп до системите на директорията чрез TCP/IP и е налична като способ посредством нативен плъгин за регистриране, който може да се задейства посредством Plugin мениджъра. Анализ на логин страницата е посочил, че в случаите, в които се употребява LDAP, поради неналичието на санитизация при въвеждане, злоумишленик може да дефинира името и паролата посредством налучкване, с пробване на знак по знак.

„ Експлоатирайки уязвимостта в логин страницата, непривилегирован клиент може сполучливо да извлече всички данни за автентикация на LDAP сървъра , употребени от Joomla инсталацията. Това включва името и паролата на супер потребителя. Това ще разреши на атакуващата страна да се впише в администраторската подпора и превземе Joomla инсталацията, както и евентуално да поеме надзор над сървъра, като качи обработени авансово разширения за отдалечено осъществяване на код “, изясняват от RIPS.. Компанията разгласява PoC код, валидиращ казуса, видео и подробна информация за уязвимостта. Те прецизират, че дупката може да се експлоатира само посредством превъзмогване на филтъра, за което обаче не дават данни, заради съображения от сигурност.