Την περασμένη εβδομάδα δημοσιευθηκε online μια ευπάθεια σε επιθέσεις σε κάποιες παλαιότερες εκδόσεις του συστήματος διαχείρισης περιεχομένου Joomla (CMS), μιας δημοφιλούς εφαρμογής στο διαδίκτυο για την κατασκευή και τη διαχείριση ιστότοπων - ιστοσελίδων.

Η ευπάθεια ανακαλύφθηκε από τον Ιταλό ερευνητή ασφάλειας Alessandro Groppo της Hacktive Security και αφορά όλες τις εκδόσεις του Joomla από 3.0.0 έως 3.4.6, που κυκλοφόρησαν από τα τέλη Σεπτεμβρίου 2012 έως τα μέσα Δεκεμβρίου του 2015.

Η απόδειξη του κώδικας εκμετάλλευση της ευπάθειας έχει δημοσιευθεί ηλεκτρονικά.

Είναι μια ένεση αντικειμένου PHP που μπορεί να οδηγήσει σε απομακρυσμένη εκτέλεση κώδικα (RCE) κάτω από ορισμένα σενάρια. Για παράδειγμα, μπορεί να αξιοποιηθεί μέσω της φόρμας σύνδεσης του Joomla CMS και μπορεί να επιτρέψει στους επιτιθέμενους να εκτελέσουν κώδικα στον υποκείμενο διακομιστή του ιστότοπου.

Η ενημέρωση σε οποιαδήποτε έκδοση του Joomla 3.4.7 ή νεότερη θα αποτρέψει τις επιθέσεις. Η τρέχουσα έκδοση του Joomla σήμερα είναι η 3.9.12.

Περισσότερες πληροφορίες σχετικά, στο Zero-day published for old Joomla CMS versions