Security Announcements
Beschreibung
Sicherheitsmitteilungen Dieser Feed bietet Ankündigungen von gelösten Sicherheitsproblemen in Joomla! Software Releases. Für weitere Informationen über die Joomla! Security Strike Team (JSST) und seine Prozesse, lesen Sie bitte unseren Sicherheitsartikel. Um mögliche Sicherheitsprobleme zu melden, befolgen Sie bitte die Richtlinien im oben genannten Artikel. Bitte beachten Sie, dass wir nur Support für die Joomla anbieten können! CMS, Joomla! Framework und *.joomla.org Netzwerk von Websites. Sie können Benachrichtigungen aus diesem Feed über einen RSS-Reader abonnieren. [20190501] - Core - XSS in com users ACL debug views Projekt: Joomla! Unterprojekt: CMS Impact: Moderate Severity: Low Versions: 1.7.0 bis 3.9.5 Exploit Type: XSS Reported Date: 2019-April-29 Fixed Date: 2019-May-07 CVE Number: CVE-2019-11809 Beschreibung Die Debug-Ansichten von com users entgehen nicht ordnungsgemäß den vom Benutzer bereitgestellten Daten, was zu einem potenziellen XSS-Angriffsvektor führt. Betroffene installieren Joomla! CMS Versionen 1.7.0 bis 3.9.5 Lösung Upgrade auf Version 3.9.6 Kontaktieren Sie das JSST im Joomla! Sicherheitszentrum, berichtet von: Jose Antonio Rodriguez Garcia und Phil Keeble (MWR InfoSecurity) [20190403] - Kern - Object.prototype Verschmutzung in JQuery $.extend Projekt: Joomla! CMS Impact: Low Severity: Moderate Versionen: 3.0.0 bis 3.9.4 Exploit-Typ: XSS Meldedatum: 2019-März-25 Fixdatum: 2019-April-09 CVE-Nummer: CVE-2019-11358 Beschreibung Die $.extend Methode von JQuery ist anfällig für Object.prototype Verschmutzungsangriffe. Betroffene installieren Joomla! CMS Versionen 3.0.0 bis 3.9.4 Lösung Upgrade auf Version 3.9.5 Kontakt Das JSST auf der Joomla! Sicherheitszentrum. Berichtet von: Michał Gołębiowski-Owczarek, David Jardin (JSST) [20190402] - Kern - Helpsites aktualisieren Endpunkt aufrufbar für nicht authentifizierte Benutzer Projekt: Joomla! CMS Impact: Low Severity: High Versionen: 3.2.0 bis 3.9.4 Exploit-Typ: ACL-Verstoß Gemeldetes Datum: 2019-März-13 Festes Datum: 2019-April-08 CVE-Nummer: CVE-2019-10946 Beschreibung Der Endpunkt "Refresh list of helpites" von com users fehlen Zugriffskontrollen, so dass Anrufe von nicht authentifizierten Benutzern möglich sind. Betroffene installieren Joomla! CMS-Versionen 3.2.0 bis 3.9.4 Lösung Upgrade auf Version 3.9.5 Kontaktieren Sie das JSST im Joomla! Sicherheitszentrum, berichtet von: Benjamin Trenkle (JSST) [20190401] - Kern - Verzeichnis Traversal im com media Projekt: Joomla! CMS Impact: Moderate Severity: Niedrige Versionen: 1.5.0 bis 3.9.4 Exploit-Typ: Verzeichnis Traversal Gemeldetes Datum: 2019-März-13 Festes Datum: 2019-April-08 CVE-Nummer: CVE-2019-10945 Beschreibung Die Media Manager-Komponente entschärft den Ordnerparameter nicht ordnungsgemäß, sodass Angreifer außerhalb des Root-Verzeichnisses des Media Managers agieren können. Betroffene installieren Joomla! CMS Versionen 1.5.0 bis 3.9.4 Lösung Upgrade auf Version 3.9.5 Kontakt Das JSST auf der Joomla! Sicherheitszentrum. Gemeldet von: Haboob Research Team [20190304] - Kern - Fehlende ACL Check-in Beispieldaten Plugins Projekt: Joomla! Unterprojekt: CMS Impact: Moderate Severity: ..
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Joomla! Project Joomla.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.