Se ha anunciado una nueva vulnerabilidad en Joomla (CVE-2015-8562), una vulnerabilidad muy crítica que permite a atacantes remotos la ejecución de código arbitrario en el servidor.

Joomla es un popular gestor de contenidos en código abierto, que cuenta con una gran cantidad de plantillas y componentes que un usuario puedo utilizar para implementar de manera rápida una aplicación web. Estos componentes son programados por todo tipo de desarrolladores. Este hecho, unido a su popularidad, convierten al gestor de contenidos en un objetivo muy popular para que los atacantes.

Esta vulnerabilidad en Joomla, se basa en una inyección de objetos en el controlador de bases de datos de MySQL, que no verifica el contenido enviado por los clientes en el user-agent y permite incluir código PHP que será ejecutado por el servidor.

Según se ha confirmado el problema parece que está siendo explotado de forma activa en los últimos días. Afecta a las versiones de Joomla desde la 1.5 a las 3.4.5, reside en el filtrado inadecuado de la información del “user agent” al guardar los valores de la sesión en la base de datos, lo que podría permitir la ejecución de código arbitrario.

Si eres usuario de Joomla, verifica el log del webserver en busca de las IP 146.0.72.83, 74.3.170.33 o 194.28.174.106.

Joomla ha publicado la versión 3.4.6 destinada a solucionar esta vulnerabilidad, junto a otras tres de menos gravedad.
Las otras tres vulnerabilidades consisten en un Cross-Site Request Forgery (CSRF) en com_templates (CVE-2015-8563) y dos escaladas de directorios (CVE-2015-8564 y CVE-2015-8565). Esta nueva versión también incluye una mejora del sistema de reasignación de la contraseña de usuario.

Haciendo uso del exploit publicado en Exploit-DB y un entorno virtualizado corriendo Joomla 3.4.5 verificamos la vulnerabilidad. En primer lugar usamos el payload propuesto en el código del exploit para crear un archivo en la ruta /tmp/.

Exploit 0-day Joomla Exploit 0-day Joomla

Un síntoma de la consideración de la gravedad del problema es que se han publicado actualizaciones para corregir la vulnerabilidad en versiones (1.5.x y 2.5.x) fuera del ciclo de soporte. Aunque se recomienda la actualización a la versión 3.4.6, en caso de usar alguna de estas versiones antiguas, se recomienda la aplicación de las actualizaciones disponibles desde aquí:
https://docs.joomla.org/Security_hotfixes_for_Joomla_EOL_versions


Explotar vulnerabilidad

Se publicó el módulo de Metasploit correspondiente para explotar esta vulnerabilidad, forma de uso:

joomla exploit joomla exploit

Solución

Se ha publicado la versión 3.4.6 de Joomla.
Aquí se explica como aplicar el parche.

Si tras aplicar el parche, el botón de login/logout dejan de funcionar, aquí esta la solución.


Fuentes

hispasec.com
csiete.org
sucuri.net
segu-info.com.ar