InfraFenceInfraFence

Live Security Operations

Loslegen

CVE-2023-23752: Offenlegung von Informationen über die Joomla-4-API, prüfen und beheben

Zuletzt aktualisiert:

Joomla 4.0.0 bis 4.2.7 prüfen den Zugriff auf ihre Webservice-API falsch: Wird public=true an eine Anfrage an /api/index.php/v1/… angehängt, entfällt die Prüfung. Der öffentliche Exploit liest darüber die Konfiguration der Website, und dazu gehören Benutzer und Passwort der Datenbank.

Die NVD bewertet sie mit 5.3, da sie nur Informationen offenlegt. In der Praxis öffnen die geleakten Zugangsdaten die Datenbank überall dort, wo sie Verbindungen von außen annimmt, und die Angriffe begannen direkt nach der Veröffentlichung. Die CISA hat sie im Januar 2024 in den KEV aufgenommen.

Auf einen Blick

CVE
CVE-2023-23752
Software
Joomla! CMS
Betroffene Versionen
4.0.0 bis 4.2.7
Behoben in
4.2.8
CVSS-Score
5.3 Mittel (NVD, CVSS 3.1) · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
CISA Known Exploited Vulnerabilities
Ja, aufgenommen am 8. Januar 2024
Von der NVD veröffentlicht
16. Februar 2023
Virtueller Patch von InfraFence
vp-cve-2023-23752 (ModSecurity id 9920008)

Was betroffen ist

Joomla 4.0.0 bis 4.2.7. Joomla 3 hat keine solche API und ist von dieser CVE nicht betroffen (es hat seit August 2023 keinen Support mehr). Der Fix ist Joomla 4.2.8.

Prüfen, ob ein Server verwundbar ist

Finde jedes Joomla auf dem Server und gib seine Version aus:

Jede Linux-Distribution
sudo nice -n 19 ionice -c3 find / -xdev -path '*/libraries/src/Version.php' 2>/dev/null \
  | while read -r f; do
      echo "$f: $(grep -oE '(MAJOR|MINOR|PATCH)_VERSION = [0-9]+' "$f" | grep -oE '[0-9]+$' | paste -sd.)"
    done

Versuche sind API-Anfragen mit dem Parameter public:

Apache-Access-Logs
sudo grep -rhiE '/api/index\.php/v1/[^ ]*[?&]public=' --include='*access*' --exclude='*.gz' /var/log/apache2 /var/log/httpd 2>/dev/null | tail -20

Beheben

  1. Sichere die Dateien der Website und die Datenbank.
  2. Aktualisiere Joomla im Administrationsbereich (System › Update › Joomla) auf 4.2.8 oder neuer, am besten auf das neueste Release eines unterstützten Zweigs.
  3. Wenn die Logs erfolgreiche Anfragen (Status 200) mit public=true zeigen, betrachte die Zugangsdaten in configuration.php als bekannt: Ändere das Datenbankpasswort (und passe configuration.php an), das Mail-Passwort und jedes andere dort gespeicherte Geheimnis.
  4. Stelle sicher, dass die Datenbank keine Verbindungen aus dem Internet annimmt.

Wie InfraFence sie blockiert, während du aktualisierst

Der virtuelle Patch für CVE-2023-23752 ist eine ModSecurity-Regel, die eine Anfrage an einen Pfad mit /api/index.php/v1/ blockiert, wenn der Query-String einen Parameter public hat. Andere API-Anfragen, mit ihrer normalen Authentifizierung, kommen durch.

Wie der Patch angewendet wird

  1. Der Agent notiert, welche SSH-Ports und Websites antworten.
  2. Er schreibt die Regel (ModSecurity-ID 9920008) zwischen seine eigenen Markierungen in seiner ModSecurity-Datei, führt apachectl configtest aus und lädt Apache sanft neu. Schlägt der Test fehl, wird die vorherige Datei zurückgespielt.
  3. Er prüft, ob SSH und die Websites weiterhin antworten, und entfernt den Patch, wenn nicht.
  4. Er prüft mit einer harmlosen lokalen Testanfrage, ob ModSecurity mit der Regel wirklich blockiert. Ein ModSecurity im Modus DetectionOnly protokolliert nur: Der Patch wird dann entfernt und als unwirksam gemeldet, nie als angewendet.

Jede Anfrage, die der Patch blockiert, wird mit CVE-2023-23752 gemeldet (Agent 1.0.37 oder neuer): Du siehst die Versuche in der Aktivität des Servers und auf der Seite Ausnutzung im Dashboard und weißt so, dass die Schwachstelle gegen dich ausprobiert wird.

Achtung: Ein virtueller Patch blockiert die bekannte Form des Angriffs bei den Anfragen, die auf diesem Server über Apache laufen. Er ersetzt das Update nicht: Installiere die behobene Version und entferne den Patch dann unter Aktivität mit Rückgängig, wenn du ihn nicht mehr brauchst.

Virtuelle Patches brauchen Apache mit ModSecurity, die Einstellung Änderungen an der Webserver-Konfiguration erlauben und kein Hosting-Panel oder Konfigurationsmanagement-Tool, das den Webserver verwaltet; sie gehören zum Plan Pro und zu AutoMode. Ein Mensch wendet sie aus der KI-Analyse an, oder AutoMode tut es. Siehe Virtuelle Patches.

Quellen

Die Fakten auf dieser Seite stammen aus diesen Quellen; prüfe sie auf Änderungen.

Kostenlos auf 1 Server testen

Starter ist für einen Server kostenlos, mit vollem Schutz und automatischen Sperren. Ohne Kreditkarte.

Installiere den Agenten als root, mit deinem Token anstelle von <TOKEN>:

curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --token <TOKEN>

Das Token erstellst du im Dashboard unter Server › Server hinzufügen.

Kostenloses Konto erstellenZur Dokumentation