Global Preloader
Vulnerabilidad
(18/May/2017) Corregida una vulnerabilidad critica de SQL Injection en Joomla

Corregida una vulnerabilidad critica de SQL Injection en Joomla

La falla, descubierta por el investigador Sucuri Marc-Alexandre Montpas identificada como CVE-2017-8917, afecta a Joomla 3.7.0 y se ha solucionado con el lanzamiento de la versión 3.7.1. Este es el único problema de seguridad solucionado en la última versión.

De acuerdo con Montpas, la vulnerabilidad sólo afecta a Joomla 3.7, ya que está relacionado con un nuevo componente introducido en esta versión. El componente en cuestión es com_fields, que accede a vistas desde un componente del lado del administrador que tiene el mismo nombre (com_fields).

Desde com_fields, cualquiera puede explotar la vulnerabilidad sin necesidad de una cuenta con privilegios en el sitio web de destino. Un atacante puede aprovechar la falla para ingresar consultas SQL anidadas a través de una dirección URL especialmente diseñado. “Dada la naturaleza de los ataques de SQL Injection, hay muchas maneras de que un atacante pueda causar daño. Los ejemplos incluyen fugas de hashes de contraseñas y el robo de una sesión iniciada del usuario, este último implica que el sitio se comprometió completamente si una sesión de administrador es robada” advirtió Montpas.

Los usuarios de Joomla han sido advertidos de la vulnerabilidad y se recomienda actualizar sus versiones tan pronto como sea posible. Desarrolladores de Joomla incluso publicaron un anuncio de seguridad previa al lanzamiento la semana pasada para informar a los usuarios de la “revisión de seguridad”.

Mientras Sucuri no ha publicado una prueba de concepto (PoC), se han hecho públicos los detalles técnicos del error. Dado que es fácil de explotar, no sería sorprendente ver ataques aprovechar esta vulnerabilidad en los próximos días.

En octubre de 2016, los delincuentes comenzaron a explotar un par de vulnerabilidades de Joomla en menos de 24 horas después de que fueron corregidas, a pesar del hecho de que sólo limitados detalles técnicos se han hecho públicos.

Un año antes, los atacantes comenzaron a robar sitios web Joomla en cuestión de horas después de que los detalles de la vulnerabilidad de SQL Injection se dieron a conocer por los investigadores. Unos meses más tarde, desarrolladores de Joomla publicaron una actualización zero-day que había sido explotada durante al menos dos días antes del lanzamiento de las correcciones.