Warnung vor kritischer Sicherheitslücke in Joomla

Das US-CERT warnt vor einer gefährlichen Lücke im weit verbreiteten Content-Management-System (CMS) Joomla. Im Modul Media Manager können unbefugte Personen aktive Inhalte hochladen und ausführen. Das Joomla-Security-Team ist sehr zurückhaltend mit Einzelheiten, weist die Lücke aber als kritisch aus.

Betroffen von der Lücke sind laut US-CERT die Versionen 2.5.13 und ältere Ausgaben von 2.5.x sowie 3.1.4 und ältere Versionen der Reihe 3.x. Um die Lücke auszunutzen muss der Angreifer, falls das Modul nicht generell als öffentlich freigeschaltet ist, sich authentifizieren, kann jedoch dann aktive Inhalte in den Media Manager des CMS hochladen und somit potenziell den Server kontrollieren und beispielsweise Schadcode an Benutzer der betroffenen Webseite ausliefern.

Für die bereits Ende Juli geschlossene Lücke existieren mittlerweile einige Exploits und ein Metasploit-Modul, sodass Anwendern der betroffenen Versionen dringend geraten wird, auf die Versionen 2.5.14 oder 3.1.5 zu aktualisieren und in den Einstellungen dafür zu sorgen, dass nur autorisierte Nutzer Zugriff auf den Media Manager haben.