Seit kurzem ist Joomla in Version 3.5.6 veröffentlicht worden. Es handelt sich um ein wichtiges Sicherheits-Release, welches zügig installiert werden sollte. Neben diversen, auch bedenklichen Sicherheitslücken, wurden auch einige Bugs gefixt. Betroffen sind auch ältere Joomla-Versionen außerhalb des 3er-Zweigs.
Sicherheitsupdate für Joomla!
Mit dem aktuellen Joomla 3.5.6 wurden drei Probleme am Core behoben, welche die Sicherheit betreffen. Auch sonst wurde an verschiedenen Stellen die Sicherheit verbessert und noch drei weitere Fehler behoben, welche nicht relevant für die Sicherheit sind.
Im Vergleich zu Joomla 3.4.6 gibt es ansonsten keinerlei Änderungen. Das Joomla-Projekt empfiehlt ausdrücklich, die Updates einzuspielen.
Ein hochpriorisiertes Problem ist mal wieder bei den Benutzerrechten aufgetreten. So könnten bestehende Benutzer-Accounts modifiziert und damit der Benutzername, das Passwort und die Zuweisung der Benutzergruppe geändert werden. Das Problem besteht offensichtlich schon seit Joomla 1.6.0.
Als weniger problematisch bezeichnet das Joomla-Projekt die nicht ausreichende Prüfung des Datei-Systems bei Uploads. Es lassen sich wohl Dateien mit alternativen PHP-Endungen hochladen. Dieses Problem tritt ab Joomla 3.0 auf.
Ebenfalls weniger kritisch beurteilt, ist eine fehlerhafte ACL-Prüfung im Override des Beez3 com_content Article-Layout. Dies ermöglicht es Anwendern, gesperrte Inhalte einzusehen. Auch dieser Fehler besteht seit Joomla 3.0.
Ansonsten bietet Joomla 3.5.6 zusätzliche Sicherungsmaßnahmen, welche Anwender davon abhalten sollen, die Einstellungen für die Konfiguration zu zerstören. So lassen sich einer Gruppe mit Super-User-Rechten nicht die New User Registration Group und Guest User Group zuweisen.
Die drei Bux-Fixes betreffen den Joomla-Updater für Windows-Anwender, die Installationssprache für sr-YU und vorgegebene Werte für die Erstellung eines Users bei der Installation.
Weiterführende Informationen sind in den Joomla 3.5.6-Releasenews zu finden.
Dort können die englischen Pakete heruntergeladen werden.
