Vulnerabilità Joomla versioni 1.5.x e possibili soluzioni

In data 12 Agosto 2008 il Supporto Ufficiale al noto Cms Joomla ha annunciato la scoperta di una falla di sicurezza presente in tutte le versioni 1.5.x. Tale vulnerabilità consente ad un malintenzionato di editare la Password dell'account Amministratore sfruttando la funzionalità di ripristino password messa a disposizione dal componente "com_user". 

ANNUNCIO UFFICIALE (Versione INGLESE)

ANNUNCIO UFFICIALE (Versione ITALIANA) 

Se sfruttata, tale vulnerabilità consente di accedere come Amministratori al Pannello Admin del Joomla e, tramite questo, permette di editare pagine (defacing), leggere i contenuti dei file, modificare i dati del Database, etc. In particolare una volta eseguita tale modifica alla password è possibile visionare il contenuto del file "configuration.php" e, di conseguenza, impossessarsi dei dati Ftp e MySQL che sono riportati in chiaro nello stesso file.

Vi sono due metodi previsti per fixare il problema di tale vulnerabilità.

1. Il primo, caldamente consigliato da Aruba, consiste nell'aggiornare e mantenere costantemente aggiornata la versione dell'applicativo che, nel frattempo, è arrivata alla versione 1.5.7 in quanto sono state scoperte ulteriori vulnerabilità. 

Di seguito i link dai quali scaricare la versione aggiornata:

Pacchetto Ufficiale Inglese

Pacchetto Ufficiale Italiano

2. Il secondo metodo per fixare il problema consiste nell'editare manualmente il file del componente "com_user" che risulta avere il problema. 
 

Per fare ciò è necessario aprire in editing il file: 

/components/com_user/models/reset.php 

e aggiungere il seguente codice alla riga 113. Nel caso in cui i numeri di riga non corrispondessero, il codice seguente andrebbe inserito esattamente dopo la riga "global $mainframe;"  

if(strlen($token) != 32) { 

$this->setError(JText::_('INVALID_TOKEN')); 

                return false;}

In caso abbiate subito tale genere di hacking è possibile che dopo l'aggiornamento o la correzione manuale il "defacing" risulti ancora presente.
Al fine di risolvere tale problema invitiamo ad eliminare tutti i template utilizzati e, successivamente, ad effettuare un nuovo upload degli stessi.

Attenzione: oltre all’aggiornamento dell’applicazione consigliamo vivamente di provvedere al cambio della password del proprio database MySql e di quella relativa alla login di gestione del dominio.