Prilikom upotrebe programskog paketa Joomla, odnosno njegovog dodatka Newsletter Subscriber, uočene su dvije sigurnosne ranjivosti. Riječ je o CMS (eng. Content Management System) sustavu za upravljanje web sadržajem otvorenog koda, napisanom u objektno-orijentiranom programskom jeziku PHP. Uočene ranjivosti javljaju se kao posljedica neispravne provjere ulaznih podataka predanih datoteci "newsletter_subscriber.php" prije vraćanje korisniku. Napadači navedene propuste mogu iskoristiti za izvođenje XSS napada. Svim se korisnicima savjetuje odgovarajuća nadogradnja.

_______________________________________________________________________________

ID upozorenja: ADV-LSS-2011-07-035
Naslov: Otklonjene dvije ranjivosti u radu programskog paketa Joolma
Datum: 2011-07-05
OS: Windows, Linux/UNIX
Programski paket: Joomla
Tip sigurnosnog problema: XSS napad
Rizik: Malen
_______________________________________________________________________________

[1]  Uvod

Uocena su dva sigurnosna propusta u radu programskog paketa Joomla, odnosno u 
dodatku Newsletter Subscriber.

Joomla je popularan sustav za upravljanje sadrzajem (eng. Content Management
System) namijenjen operacijskim sustavima Microsoft Windows i Linux/UNIX. Otvorenog je programskog koda te omogucava izgradnju slozenijih web stranica i aplikacija. Joomla se koristi za upravljanje razlicitim vrstama sadrzaja, kao sto su slike, tekst, audio i video datoteke, dokumenti i dr.

Dodatak Newsletter Subscriber je vrlo jednostavan obrazac koji sluzi kako bi se korisnici mogli pretplatiti na odredjene clanke.

Vise informacija o funkcionalnostima samog paketa korisnicima je dostupno na
sluzbenim stranicama:

http://www.joomla.org/ i

http://extensions.joomla.org/extensions/content-sharing/mailing-a-distribution-lists/6414

-------------------------------------------------------------------------------

[2]  Sigurnosni problem

Sigurnosni propusti uoceni u radu programskog paketa Joomla, odnosno u njegovom dodatku Newsletter Subscriber, napadacima omogucuje izvodjenje XSS (eng. cross-site scripting) napada.

-------------------------------------------------------------------------------

[3]  Sigurnosna zastita

Svim se korisnicima preporuca nadogradnja na inacicu dodatka 1.3 za Joomlu 1.5 (izdanu 28.6.2011.) i inacicu 1.2 za Joomlu 1.6 (izdanu 29.6.2011.).   

-------------------------------------------------------------------------------

[4]  Analiza

Ulazni podaci predani preko POST parametra "name" i "email" datoteci "index.php" nisu ispravno provjereni u datoteci "newsletter_subscriber.php" prije vracanje korisniku. Napadaci ranjivost mogu iskoristiti za pokretanje proizvoljnog HTML ili skriptnog koda u korisnikovom pregledniku u kontekstu zlonamjerno oblikovane web stranice.

Ranjivost je potvrdjena u inacici 1.3 za Joomlu 1.5 i u inacici 1.2 za Joomlu 1.6. Inacice izdane prije navedenih takodjer mogu sadrzavati iste propuste.

-------------------------------------------------------------------------------

[5]  Credit

Informacije o propustu otkrio je Joomla! VEL tim.

-------------------------------------------------------------------------------

[6]  LSS/ZESOI/FER  

LSS, www.lss.hr - laboratorij za sustave i signale pri Zavodu za elektronicke 
  sustave i obradbu informacija Fakulteta elektrotehnike i racunarstva  
  Sveucilista u Zagrebu  

_______________________________________________________________________________