Sicherheitslücke im Joomla-Installer: Angreifer können die Kontrolle übernehmen
Über eine zwölf Jahre alte Lücke in den Install-Routinen des Content Management Systems können Angreifer während der Installation die Software kapern. Das Joomla-Projekt empfiehlt, die CMS-Software schnellstens zu aktualisieren.
- Fabian A. Scherschel
Die Entwickler des Content Management Systems (CMS) Joomla haben ein Update für ihre Software veröffentlicht, das unter anderem auch zwei Sicherheitslücken schließt. Das Joomla-Projekt schätzt die Priorität des Updates als "hoch" ein und empfiehlt dringlich, dieses sofort einzuspielen. Einen Link zum Download der abgesicherten Version Joomla 3.7.4 findet sich in der Ankündigung der Entwickler.
Eine der Lücken steckt im Installer der Software. Genau beschreiben die Entwickler das Problem nicht, die Sicherheitslücke ermöglicht es Angreifern aber wohl, bei der Installation die Kontrolle über das CMS zu übernehmen. Das ist anscheinend möglich, weil der Installer nicht prüft, dass der Nutzer wirklich berechtigt ist, die Software auf dem Webspace zu installieren. So können Angreifer die Kontrolle übernehmen – allerdings nicht, wenn die Installation bereits abgeschlossen wurde. Die Lücke steckt seit Version 1.0.0 im Joomla-Code. Sie ist damit fast zwölf Jahre alt. (fab)
