Noch immer sind viele Joomla 1.0 Seiten in Betrieb. Leider wurde jetzt eine schlimme Sicherheitslücke entdeckt, welche alle Versionen bis einschließlich 1.0.15 betrifft. Es gibt aber Abhilfe.
Cross Site Scripting Lücke in Joomla 1.0.xx!
Joomla 1.6 steht bereits vor der Tür und dennoch sind sehr viele Joomla 1.0 Seiten immer noch am Laufen. Bisher gab es damit auch keine Probleme, wenn man die letzte Version 1.0.15 installiert hatte.
Dummerweise ist jetzt eine neue und gefährliche Sicherheitslücke aufgetaucht. Sie betrifft die Suchkomponente. Es geht um den Ordering-Parameter, welcher unsicher ist. Damit ist eine Joomla 1.0 Seite anfällig für eine XSS-Attacke, also für Cross Site Scripting.
Leider kann man von den Joomla-Entwicklern keinen Sicherheits-Patch mehr erwarten, da die Pflege der 1.0er Serie bereits seit 22.07.2009 beendet wurde.
Das Problem wurde von Aung Khant von der Ethical Hacker Group aus Myanmar erkannt. Als Lösung wird vorgeschlagen, auf Version 1.5 upzugraden und so das Problem loszuwerden.
So ein Upgrade kann aber viel Arbeit bedeuten. Zum Beispiel möchte man für viele Links meist ein Redirect machen und so weiter. Viele Joomla 1.0 Anwender wollten vielleicht auf das in Kürze erscheinende Joomla 1.6 warten und nicht erst noch Joomla 1.5 dazwischen schieben. Je nach Projekt kann so ein Upgrade auch etwas länger dauern und solange ist die Seite dann ungeschützt den Hackern ausgesetzt.
Eine Lösung muss also sofort her. Zum Glück gibt es eine riesige Community für Joomla. Da findet sich meist ein netter Mensch, der für Abhilfe sorgt. So auch in diesem Fall. Der nette Mensch ist ein Foren-Mitglied unter dem Nick nibra im Joomlaportal und hat dort einen Patch zum Download zur Verfügung gestellt.
Der Patch ist auf der Seite http://www.joomlaportal.de/sicherheit/241658-joomla-1-0-x-1-0-15-cross-site-scripting-xss-vulnerability.html zu finden.
Die Datei nennt sich com_search-2011-01-07.zip. Nach dem Entpacken der Zip-Datei erhält man die beiden Dateien search.html.php und search.php, welche man einfach in den Ordner components/com_search kopiert und damit die alten Dateien überschreibt.
In der Datei search.html.php wurde $ordering in einer zweiten Zeile mit $ordering = preg_replace( '~^(\w+).*$~', '\1', $ordering ); erweitert. Das ist zu finden in Zeile 134. Man könnte die Originaldatei also auch selbst mit dieser Zeile erweitern. In der Original-Datei wäre das unter der Zeile 126. Dass sich die Zeilen so weit unterscheiden liegt nur an dem zusätzlichen Kommentar ganz oben in der gepatchten Datei.
Auch die Datei search.php wurde erweitert und zwar ebenfalls mit der oben genannten Zeile. Diese Zeile steht im Patch unter der Zeile 126. Also unter folgendem Inhalt:
$ordering = strtolower( strval( mosGetParam( $_REQUEST, 'ordering', 'newest') ) );
In der original Datei wäre das also unter Zeile 119.
Auch das lässt sich also selbst erweitern, falls man sich nicht im Joomla Portal anmelden möchte. Das muss man nämlich tun, um den Patch herunterladen zu können. Aber eine Anmeldung dort schadet auch nichts, da dieses Forum wirklich sehr informativ ist.
Vielen Dank an dieser Stelle an das Forenmitglied nibra für den Patch. Der Patch funktioniert ohne Probleme.
