[PATCH][JOOMLA] Contournement de restrictions de sécurité et vol d'informations via 3 vulnérabilités au sein de Joomla!

Le CERT-XMCO vous partage une information ayant fait l’actualité durant la semaine écoulée. Il s’agit de la publication de la mise à jour pour le très répandu CMS Joomla!. Celui-ci corrige trois vulnérabilités importantes.

Description

3 vulnérabilités ont été corrigées au sein de Joomla!. Leur exploitation permettait à un attaquant de dérober des informations sensibles et de contourner des restrictions de sécurité.

La faille de sécurité référencée CVE-2017-16634 provenait de la gestion de l’authentification double au sein du plug-in d’authentification Joomla!. Un attaquant était en mesure de contourner ce mécanisme de sécurité.

La faille de sécurité référencée CVE-2017-16633 était due à un bug de logique au sein de ‘com_fields’ (‘components/com_fields/fields.php’). Son exploitation permettait à un attaquant de récupérer des informations relatives à des champs spécifiques de l’application web.

La faille de sécurité référencée CVE-2017-14596 provenait du traitement des entrées utilisateur par le plug-in d’authentification ‘ldap’ (‘plugins/authentication/ldap/ldap.php’). Son exploitation permettait à un attaquant de dérober des identifiants (nom d’utilisateur et mot de passe).

Versions vulnérables

• (CVE-2017-16634) Joomla! CMS versions 3.2.0 <= 3.8.1
• (CVE-2017-16633) Joomla! CMS versions 3.7.0 <= 3.8.1
• (CVE-2017-14596) Joomla! CMS versions 1.5.0 <= 3.8.1

Versions non vulnérables

• Joomla! CMS version 3.8.2

Recommandation

Le CERT-XMCO recommande l’installation des mises à jour disponibles auprès du support Joomla!.

• https://downloads.joomla.org/

Référence(s)

• https://developer.joomla.org/security-centre/713-20171102-core-2-factor-authentication-bypass.html
• https://developer.joomla.org/security-centre/715-20171103-core-information-disclosure.html
• https://developer.joomla.org/security-centre/714-20171101-core-ldap-information-disclosure.htmlhttps://go.armis.com/hubfs/BlueBorne%20-%20Android%20Exploit.pdf?t=1508711403067

Référence CERT-XMCO :

CXA-2017-4180