Mới nhất Joomla 3.7.1 phát hành Patches Critical SQL Injection tấn công

Nếu trang web của bạn dựa trên hệ thống quản lý nội dung Joomla phổ biến, hãy đảm bảo bạn đã cập nhật nền tảng của mình lên phiên bản mới nh...

Nếu trang web của bạn dựa trên hệ thống quản lý nội dung Joomla phổ biến, hãy đảm bảo bạn đã cập nhật nền tảng của mình lên phiên bản mới nhất được phát hành hôm nay.

Joomla, hệ thống quản lý nội dung mã nguồn mở phổ biến thứ hai thế giới, đã báo cáo vá một lỗ hổng nghiêm trọng trong thành phần cốt lõi phần mềm của hãng.

Các quản trị viên website được khuyên nên cài đặt ngay phiên bản mới nhất của Joomla 3.7.1, phát hành hôm nay, để vá một lỗ hổng SQL Injection quan trọng (CVE-2017-8917) chỉ ảnh hưởng đến phiên bản Joomla 3.7.0.

" Việc lọc không đầy đủ dữ liệu yêu cầu dẫn đến lỗ hổng SQL Injection ".

Lỗ hổng SQL Injection trong Joomla 3.7.0 đã được báo cáo một cách có trách nhiệm bởi Marc-Alexandre Montpas, một nhà nghiên cứu an ninh tại Sucuri tuần trước cho công ty.

Theo các nhà nghiên cứu , " lỗ hổng dễ bị khai thác và không đòi hỏi một tài khoản đặc quyền trên trang của nạn nhân" , nó có thể cho phép tin tặc từ xa ăn cắp thông tin nhạy cảm từ cơ sở dữ liệu và truy cập trái phép vào các trang web.

Lỗ hổng SQL Injection bắt nguồn từ một tham số com_fields, được giới thiệu trong phiên bản 3.7.

/index.php?option=com_fields&view=fields&layout=modal

" Vì vậy, để khai thác lỗ hổng này, tất cả kẻ tấn công phải làm là thêm các thông số thích hợp vào URL để chèn các truy vấn SQL lồng nhau ", nhà nghiên cứu cho biết.

Joomla 3.7.0 Khai thác lợi ích của Bằng chứng về Khái niệm:

Http://target-joomla-website.com/index.php?option=com_fields&view=fields&layout=modal&list&hl=vi[surfing]=updatexml(1,concat(0x3e,user()).0)

Vì hacker sẽ không mất nhiều thời gian để khai thác lỗ hổng này đối với hàng triệu trang web, bạn nên tải về phiên bản mới nhất của Joomla cho trang web của bạn và thông báo cho người khác về bản phát hành bản vá lỗi quan trọng.