Security Announcements

Beschreibung

Sicherheitsmitteilungen Dieser Feed bietet Ankündigungen von gelösten Sicherheitsproblemen in Joomla! Software Releases. Für weitere Informationen über die Joomla! Security Strike Team (JSST) und seine Prozesse, lesen Sie bitte unseren Sicherheitsartikel. Um mögliche Sicherheitsprobleme zu melden, befolgen Sie bitte die Richtlinien im oben genannten Artikel. Bitte beachten Sie, dass wir nur Support für die Joomla anbieten können! CMS, Joomla! Framework und *.joomla.org Netzwerk von Websites. Sie können Benachrichtigungen aus diesem Feed über einen RSS-Reader abonnieren. [20200602] - Kern - Inkonsistente Standardtextfiltereinstellungen Projekt: Joomla! Unterprojekt: CMS Impact: Low Severity: Low Versions: 2.5.0-3.9.18 Exploit-Typ: Insecure Permissions Reported Date: 2020-April-23 Fixed Date: 2020-Juni-02 CVE Number: CVE-2020-13763 Beschreibung Die Standardeinstellungen der globalen "Textfilter"-Konfiguration blockieren keine HTML-Eingaben für "Gast"-Benutzer. Mit 3.9.19 wurde der Textfilter für neue Installationen für die Gruppen 'Public', 'Gast' und 'Registered' auf 'No HTML' gesetzt. Betroffene installieren Joomla! CMS Versionen 2.5.0 - 3.9.18 Lösung Upgrade auf Version 3.9.19 Kontakt Das JSST auf der Joomla! Sicherheitszentrum, berichtet von: Brian Teeman [20200601] - Kern - XSS in Modulen mit der Überschrift Tag-Option Projekt: Joomla! Unterprojekt: CMS Impact: Moderate Severity: Low Versions: 3.0.0-3.9.18 Exploit Type: XSS Reported Date: 2020-Mai-06 Fixed Date: 2020-Juni-02 CVE Number: CVE-2020-13761 Description Fehlende Eingabevalidierung in der Überschrift Tag Option der Module "Artikel - Newsflash" und "Artikel - Kategorien" ermöglichen XSS-Angriffe. Betroffene installieren Joomla! CMS Versionen 3.0.0 - 3.9.18 Lösung Upgrade auf Version 3.9.19 Kontakt Das JSST auf der Joomla! Sicherheitszentrum, berichtet von: Bui Duc Anh Khoa von Viettel Cyber Security [20200403] - Kern - Falsche Zugriffskontrolle in com users Access Level Löschfunktion Projekt: Joomla! CMS Impact: Moderate Severity: Low Versions: 2.5.0 - 3.9.16 Exploit-Typ: Falsche Zugriffskontrolle Gemeldetes Datum: 2020-März-13 Festes Datum: 2020-April-21 CVE-Nummer: CVE-2020-11889 Beschreibung Falsche ACL-Prüfungen im Bereich Access Level von com users ermöglichen das unbefugte Löschen von Benutzergruppen. Betroffene installieren Joomla! CMS Versionen 2.5.0 - 3.9.16 Lösung Upgrade auf Version 3.9.17 Kontakt Das JSST auf der Joomla! Sicherheitszentrum, berichtet von: Hoang Kien von VSEC [20200402] - Kern - Fehlende Überprüfungen für die Root-Benutzergruppe in der Benutzergruppentabelle Projekt: Joomla! Unterprojekt: CMS Impact: Moderate Severity: Low Versions: 2.5.0 - 3.9.16 Exploit Type: Incorrect Access Control Reported Date: 2020-Februar-27 Fixed Date: 2020-April-21 CVE Number: CVE-2020-11890 Beschreibung Falsche Eingabevalidierungen in der Benutzergruppen-Tabellenklasse können zu einer defekten ACL-Konfiguration führen. Betroffene installieren Joomla! CMS Versionen 2.5.0 - 3.9.16 Lösung Upgrade auf Version 3.9.17 Kontakt Das JSST auf der Joomla! Sicherheitszentrum, berichtet von: Hoang Kien von VSEC [20200401] - Kern - Falsche Zugangskontrolle in ..

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Joomla! Project Joomla.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.