Sécurité IT : Joomla touché en plein coeur

Il aura fallu une semaine à Joomla pour corriger les failles critiques que lui avaient signalées, à la mi-octobre, Asaf Orphani et Netanel Rubin.

Ces deux chercheurs en sécurité informatique, qui travaillent respectivement pour Trustwave et pour PerimeterX, ont démontré comment ils pouvaient prendre le contrôle d’un site Internet en obtenant les droits administrateur du CMS.

Toutes les versions de Joomla depuis la 3.2 – sortie fin 2013 – sont vulnérables. Il est vivement recommandé d’installer la mise à jour en 3.4.5, d’autant plus que la brèche en question ne se trouve pas dans un module tiers, mais dans une fonction native.

Le problème se trouve au niveau du fichier history.php, situé dans le dossier /administrator/components/com_contenthistory/models/.

Une partie du code est vulnérable à une injection SQL (que l’on envoie avec la commande GET). Celle-ci déclenche l’affichage du message « Page introuvable ». Il est suggéré à l’utilisateur de contacter l’administrateur… et de joindre un code d’erreur, dans lequel on trouve un identifiant de session.

Cet identifiant peut être inséré dans le cookie associé à la demande d’accès au dossier /administrator/. L’effet est immédiat : la porte s’ouvre grand sur le panneau d’administration.

Le danger résulte en fait de la combinaison de plusieurs failles, répertoriées CVE-2015-7297, CVE-2015-7857 et CVE-2015-7858. Asaf Orphani en fournit une description détaillée dans son rapport, qui nous apprend notamment qu’un administrateur doit forcément être connecté pour que l’attaque fonctionne.

Dès lors, plusieurs fichiers PHP entrent en jeu, dont certains accessibles à tous les utilisateurs, alors qu’ils ne devraient l’être qu’à ceux disposant de privilèges de niveau administrateur. Plusieurs modules donnent par ailleurs, via les listes de contrôle d’accès qui leur sont associés, un droit de regard sur des données qui ne devraient pas être consultables.

Joomla capte 6,6 % du marché mondial des CMS au dernier pointage de W3Techs. Il propulse près de 3 millions de sites Web, selon les estimations de BuiltWith (services Internet).

Crédit photo : Maksim Kabakou – Shutterstock.com