Joomla 曝高危漏洞b 攻擊者可重置密碼並接管網站

近日，知名CMS Joomla發布了3.6.5的版本更新，修補了可以導致攻擊者重置用戶密碼並接管網站的CVE- 2016 – 9838漏洞，以及其他兩個漏洞。

CVE- 2016 – 9838能夠影響到所有運行Joomla1.6.0到3.6.4的網站，也就是說所有在過去五年里發布的Joomla版本都將受到影響。因此，更新到3.6.5顯然已經成了唯一的選擇，否則站長們就會發現他們的網站會成為垃圾郵件SEO或者DDOS殭屍網路的一部分。

由於CVE- 2016 – 9838允許攻擊者修改用戶名和密碼，所以Joomla的開發團隊將其定性為「高危」，據說這個漏洞是由於一個會話表單驗證失敗導致的，因此攻擊者可以利用其缺乏數據過濾的問題來上傳並執行惡意代碼，進而對現有賬戶的詳細信息進行更改。

準確的來說，攻擊者是可以對用戶名進行修改並且重置密碼，更改用戶組的分配。這就使得如果攻擊者對網站足夠了解就可以在這一網站上創建自己的管理員賬戶，並且可以使用自己的密碼。

除了CVE- 2016 – 9838，這一次的3.6.5版本更新還修復了另外兩個shell上傳漏洞，其中有一個同樣可以改變其他用戶的密碼，不過這兩個漏洞被標註為「低危」。

目前，Joomla3.6.5已經為用戶提供了下載並且還在源代碼中增加了額外的安全特性。

大規模的掃描已經出現

開發者們提醒用戶應該儘快去升級到最新版本，因為有消息稱在10月下旬Joomla3.6.4發布後就已經有攻擊者在對存在該漏洞的網站進行大範圍的掃描了。

Sucuri的創始人兼CTO Daniel Cid這樣說道，

不到一個星期，任何仍然沒有更新到最新版Joomla的用戶都將被攻擊。n

該漏洞最早被發現是在10月底，3.6.4版本以及其補丁版都存在問題——允許攻擊者註冊賬戶並將自己的賬戶加入到管理員群組中。

事實上，去年Joomla也曾發生過類似的事情，2015年12月，攻擊者就曾利用Joomla的零日漏洞發起每天超過16600次的攻擊。

因此，這一次CVE – 2016 – 9838仍然有可能被武器化的使用，從而使得攻擊者可以去攻擊足夠多的網站。

註：本文參考來源於bleepingcomputer

推薦閱讀：