Suchen

Entwickler werden trotz Patch selbst Opfer eines Hackerangriffs Angreifer übernehmen Administrator-Account bei CMS Joomla!

| Autor / Redakteur: Dirk Srocke / Peter Schmitz

Bei den Entwicklern der Open-Source-Lösung Joomla! liegt derzeit anscheinend einiges im Argen. Nachdem die Programmierer eine kritische Sicherheitslücke in dem Content Management System (CMS) gefixt hatten, wurde der Webauftritt des Projekts selbst von Hackern lahmgelegt. Bislang ist unklar, ob die Seite Opfer ihres eigenen Produktes wurde.

Mit modifiziertem PHP-Code wollen die Joomla!-Entwickler den Diebstahl von Accounts verhindern.
Mit modifiziertem PHP-Code wollen die Joomla!-Entwickler den Diebstahl von Accounts verhindern.
( Archiv: Vogel Business Media )

Mit dem jetzt erhältlichen Release Joomla! 1.5.6 wollen die Entwickler des CMS eine kritische Sicherheitslücke schließen. Davon betroffen sind die Programmversionen von 1.5.x bis einschließlich 1.5.5. Das auf der Projekt-Homepage angebotene Update ist bis auf Weiteres mit Vorsicht zu genießen.

Am Donnerstag wurde die Webseite selbst Ziel einer Hackerattacke. Inwieweit die Angreifer dabei die kürzlich gefixte Schwachstelle ausgenutzt haben ist bislang genauso unklar wie die Frage, ob die Joomla!-Seite auf einer aktuellen Version des Open-Source-CMS läuft.

Am Donnerstag wurde die Website des Projektes Joomla! selbst Ziel eines Hackerangriffs der „Red Eye Crew“. (Archiv: Vogel Business Media)

Grund für das ursprüngliche Problem ist ein Fehler in Routinen zum Zurücksetzen von Passworten. Angreifer können die Schwachstelle nutzen, um das Zugangstoken des Nutzers mit der niedrigsten ID zurückzusetzen. Das Schadpotential ist beachtlich, da unter der Kennung typischerweise der Administrator des Systems verwaltet wird.

Bislang konnten Anwender den Angriff lediglich durch das Ändern der Nutzerkennung des betreffenden Accounts mildern: Ohne Login-Namen können Angreifer mit einem Passwort wenig anfangen. Mit Joomla! 1.5.6 wollen die Open-Source-Programmierer jedoch eine saubere Lösung des Problems anbieten.

Anwender, die das Upgrade scheuen, können ihre Systeme per Hand patchen. In der Skriptdatei /components/com_user/models/reset.php ist dabei ab Zeile 113 und nach „global $mainframe“ folgender PHP-Code hinzuzufügen:

if(strlen($token) != 32) {$this->setError(JText::_(‚INVALID_TOKEN‘));return false;}

Ein rasches Handeln ist ratsam: Die Übernahme der Joomla!-Seite und erste Berichte über Anleitungen zur Ausnutzung der Schwachstelle sprechen für sich.

(ID:2014771)