Joomla! ... und noch ein CMS

Joomla! ... und noch ein CMS

Posts 1-9 of 9
  • Rainer Hafemann
    Rainer Hafemann    Premium Member   Group moderator   Ambassador
    The company name is only visible to registered members.
    Alle Joomla!1.0 Installationen von Cross Site Scripting betroffen!
    Wie nun bekannt wurde besteht in der nicht mehr unterstützten Version Joomla!1.0 eine Lücke, mit deren Hilfe es möglich ist, Cross Site Scripting (XSS)-Angriffe auf die Installationen zu führen. Betroffen ist die Core-Komponente com_search.

    Die/Der User, welche(r) diese Lücke gefunden hatte, benachrichtigte am 03.01.2011 das Joomla Security-Team. Wohl wissend dass Joomla!1.0 im "End of Life" (EOL) Stadium ist und mit KEINEN Patches und Verbesserungen mehr vom Joomla!Core-Team versorgt wird. Heute wurde die Lücke dann von diesen veröffentlicht und kann in einschlägigen Portalen gefunden werden.

    Weitere Infos unter http://bit.ly/gSrkYR

    Viele Grüße


    Rainer Hafemann
    • 07 Jan 2011, 3:27 pm
  • Niels Braczek
    Niels Braczek    Group moderator
    The company name is only visible to registered members.
    Re: Alle Joomla!1.0 Installationen von Cross Site Scripting betroffen!
    Ich habe einen entsprechenden Patch erstellt. Er enthält bereinigte Versionen der Frontend-Dateien search.php und search.html.php. Einfach entpacken und in das Verzeichnis components/com_search kopieren.
    http://www.joomlaportal.de/sicherheit/241658-joomla-1-0-x-1-...
    • 07 Jan 2011, 5:02 pm
  • Rainer Hafemann
    Rainer Hafemann    Premium Member   Group moderator   Ambassador
    The company name is only visible to registered members.
    Re^2: Alle Joomla!1.0 Installationen von Cross Site Scripting betroffen!
    Vielen Dank, das hat ja super geklappt.

    Viele Grüße

    Rainer Hafemann
    • 07 Jan 2011, 5:22 pm
  • Post visible to registered members
  • Niels Braczek
    Niels Braczek    Group moderator
    The company name is only visible to registered members.
    Re^4: Alle Joomla!1.0 Installationen von Cross Site Scripting betroffen!
    Link ist down, könnte bitte jemand einen Mirror einrichten?
    Der Patch ist unter
    http://www.bsds.de/patches/com_search-2011-01-07.zip
    erreichbar.

    Zitat: "Als erste Soforthilfe können Anwender das Suchmodul ausblenden, die Verzeichnisse "com_search" im components und administrator/components kurzfristig umbenennen um einen Zugriff, beziehungsweise dessen Nutzung zu unterbinden."
    Das Zitat stammt woher?

    ist der Patch komplett, wenn nur die com_search Dateien in Components gepatcht sind? Was ist mit der angesprochenen Admin Lücke?
    In der Beschreibung des Exploits http://yehg.net/lab/pr0js/advisories/joomla/core/%5Bjoomla_1... steht davon nichts.
    • 08 Jan 2011, 2:23 pm
  • Post visible to registered members
  • Niels Braczek
    Niels Braczek    Group moderator
    The company name is only visible to registered members.
    Re^6: Alle Joomla!1.0 Installationen von Cross Site Scripting betroffen!
    Das Zitat stammt von hier:
    http://www.joomla-downloads.de/core/schwere-sicherheitslueck...
    Ok, dann ist alles im grünen Bereich. Die Empfehlung, auch die Admin-Komponente zu sperren, war nur eine zusätzliche Vorsichtsmaßnahme. Die entdeckte Lücke betrifft nur das Frontend.
    • 08 Jan 2011, 3:09 pm
  • Post visible to registered members
  • Stefan Wendhausen
    Stefan Wendhausen    Premium Member   Group moderator
    The company name is only visible to registered members.
    Re^8: Alle Joomla!1.0 Installationen von Cross Site Scripting betroffen!
    Patch unseres RZ https://www.fc-hosting.de/news2011-01-08.php
    • 08 Jan 2011, 3:25 pm