Il aura fallu une semaine à Joomla pour corriger les failles critiques que lui avaient signalées, à la mi-octobre, Asaf Orphani et Netanel Rubin.
Ces deux chercheurs en sécurité informatique, qui travaillent respectivement pour Trustwave et pour PerimeterX, ont démontré comment ils pouvaient prendre le contrôle d’un site Internet en obtenant les droits administrateur du CMS.
Toutes les versions de Joomla depuis la 3.2 – sortie fin 2013 – sont vulnérables. Il est vivement recommandé d’installer la mise à jour en 3.4.5, d’autant plus que la brèche en question ne se trouve pas dans un module tiers, mais dans une fonction native.
Le problème se trouve au niveau du fichier history.php, situé dans le dossier /administrator/components/com_contenthistory/models/.
Une partie du code est vulnérable à une injection SQL (que l’on envoie avec la commande GET). Celle-ci déclenche l’affichage du message « Page introuvable ». Il est suggéré à l’utilisateur de contacter l’administrateur… et de joindre un code d’erreur, dans lequel on trouve un identifiant de session.
Cet identifiant peut être inséré dans le cookie associé à la demande d’accès au dossier /administrator/. L’effet est immédiat : la porte s’ouvre grand sur le panneau d’administration.
Le danger résulte en fait de la combinaison de plusieurs failles, répertoriées CVE-2015-7297, CVE-2015-7857 et CVE-2015-7858. Asaf Orphani en fournit une description détaillée dans son rapport, qui nous apprend notamment qu’un administrateur doit forcément être connecté pour que l’attaque fonctionne.
Dès lors, plusieurs fichiers PHP entrent en jeu, dont certains accessibles à tous les utilisateurs, alors qu’ils ne devraient l’être qu’à ceux disposant de privilèges de niveau administrateur. Plusieurs modules donnent par ailleurs, via les listes de contrôle d’accès qui leur sont associés, un droit de regard sur des données qui ne devraient pas être consultables.
Joomla capte 6,6 % du marché mondial des CMS au dernier pointage de W3Techs. Il propulse près de 3 millions de sites Web, selon les estimations de BuiltWith (services Internet).
Crédit photo : Maksim Kabakou – Shutterstock.com
Les dernières migrations de Windows 10 vers Windows 11 vont accélérer l'adoption des PC IA. Mais des…
L’IA générative excelle dans plusieurs cas d’usage, notamment dans l’analyse, la recherche et la synthèse…
Trop tôt pour envisager d'acquérir un PC Copilot+ ? Les roadmaps d'Intel et d'AMD peuvent…
Dévoilés lors du CES 2025, les PC Copilot+ au format convertible restent encore limitée dans…
Les fonctionnalités de Gemini sont intégrées dans la suite bureautique Google Workspace. Conséquence : les…
Au CES 2025, les principaux constructeurs ont annoncé l'arrivée des ordinateurs de bureau dotés de…
