Масово експлоатират наскоро адресирани проблеми в Joomla

В края на миналия месец ви съобщихме, че хората. поддържащи Joomla са запушили две сериозни уязвимости в платформата. Едва 24 часа след издаването на обновлението, хакери са започнали да експлоатират въпросните грешки в кода на платформата, съобщават специалисти от компанията за информационна сигурност Succuri.

Въпросните проблеми: CVE-2016-8870, която позволява създаването на потребителски акаунт, даже при закрити регистрации и CVE-2016-8869, която позволява неразрешено повишение на привилегиите и получаването на администраторски права, бяха адресирани във версия 3.6.4, която беше издадена на 25.10. От Succuri обясняват, че комбинация от двете уязвимости би могло да позволи качването на бекдор и пълното превземане на сайта, изграден на основата на Joomla.

Макар и хората от Joomla да се постараха да не разкриват много подробности за проблемите, то престъпници са излезли с работещ експлойт бързо. Такъв са създали и Succuri, за да разберат как действа експлоатирането. За съжаление не са само те, които са създали работещ експлойт. Едва 24 часа след адресирането на проблемите, те са засекли неизвестни страни да сканират Интернет за уязвими инсталации на CMS платформата. Първите масови опити за експлоатиране на уязвимостите са се появили малко по-късно и те са идвали от адреси от Румъния. Те са се опитвали да създават акаунти с потребителски имена db_cfg и fsugmze3 на хиляди сайтове. На 28-ми те регистрират повече от 27 000 атаки, като според тях жертвите на успешни атаки са значително повече.

Смущаващо звучи твърдението на Succuri, че всеки непачнат досега сайт, най-вероятно вече е компрометиран. Те съветват администриращите ресурси на основата на Joomla да проверят логовете за подозрителна мрежова активност.