Исходное сообщение
"Новая критическая уязвимость в Joomla использована для совер..." Отправлено opennews, 14-Дек-15 23:49
Разработчики свободной системы управления web-контентом Joomla опубликовали (https://www.joomla.org/announcements/release-news/5641-jooml...) экстренное обновление 3.4.6, в котором устранена критическая уязвимость (https://developer.joomla.org/security-centre/630-20151214-co...), позволяющая выполнить произвольный PHP-код на сервере. Проблема усугубляется тем, что она уже активно эксплуатируется (https://blog.sucuri.net/2015/12/remote-command-execution-vul...) злоумышленниками и исправлена после выявления массовой вредоносной активности на сайтах под управлением Joomla.  Всем пользователям Joomla рекомендуется незамедлительно установить обновление и провести полный аудит своих систем. По  данным (https://blog.sucuri.net/2015/12/remote-command-execution-vul...) компании Sucuri в сети зафиксирована интенсивная автоматизированная атака, нацеленная на поражение систем, подверженных указанной уязвимости. После запуска нескольких подставных honeypot-систем, в течение дня на всех из них было зафиксировано более сотни попыток проникновения, поэтому после обновления следует обязательно проанализировать систему на предмет возможного проникновения атакующих. Очень высока вероятность, что система, использующая CMS Joomla, уже находится под контролем злоумышленников. Уязвимость начала активно эксплуатироваться как минимум за два дня до выхода исправления. Проблема проявляется начиная с версии Joomla 1.5.0, выпущенной восемь лет назад, и вызвана отсутствием чистки значения строки с идентификатором браузера (User Agent), перед записью в СУБД. Для атаки достаточно отправить запрос к сайту на базе Joomla c  определённым образом установленным значением User Agent. В качестве достаточного условия выявления атаки по логу, упоминается наличие запросов с IP-адресов 146.0.72.83, 74.3.170.33 и 194.28.174.106.  Признаком атаки также может быть наличие в логах идентификаторов браузера (User Agent), подпадающих под маски "JDatabaseDriverMysqli" и "O:". Если подобные запросы присутствуют в логе, то можно считать систему поражённой злоумышленниками. <font color="#461b7e">    2015 Dec 12 16:49:07 clienyhidden.access.log    Src IP: 74.3.170.33 / CAN / Alberta    74.3.170.33 - - [12/Dec/2015:16:49:40 -0500] "GET /contact/ HTTP/1.1" 403 5322 "http://google.com/" "}__test|O:21:/x22JDatabaseDriverMysqli/x22:3: ..    {s:2:/x22fc/x22;O:17:/x22JSimplepieFactory/x22:0: .. {}s:21:/x22/x5C0/x5C0/x5C0disconnectHandlers/x22;a:1:{i:0;a:2:   {i:0;O:9:/x22SimplePie/x22:5:..    {s:8:/x22sanitize/x22;O:20:/x22JDatabaseDriverMysql/x22:0:{}s:8:/x22feed_url/x22;s:60:.. </font> URL: https://www.joomla.org/announcements/release-news/5641-jooml... Новость: http://www.opennet.dev/opennews/art.shtml?num=43521