Joomla JCE extentie exploit

[Bollocks37]

Zoals jullie misschien weten is er een exploit in omloop die hackers de mogelijkheid geeft om bestanden naar Joomla sites te uploaden met een JCE versie van 2.0.11 of ouder.

Op onze servers wordt meestal een gif geupload die gligie10.gif heet en in werkelijkheid een php bestand is.

Zie ook: http://webwereld.nl/nieuws/112995/nederlandse-sites-gehackt-via-joomla-plugin.html

Gelukkig komen wij er snel achter dankzij Maldet maar lollig is het niet.
Weet iemand een Mod_security regel die dit afvangt?

Misschien dat er iemand is die een scriptje kan maken die zoekt op de server naar mod_jce modules ouder dan 2.0.11?
We kunnen die daarna desnoods een chmod 000 geven en als een klant zich meldt hem vertellen dat hij of zijn JCE component moet updaten of naar Joomla 2.5 moet overstappen.

Geïntresseerden kan ik eventueel via pm verwijzen naar de exploit zelf maar ik neem aan dat de mensen die daar wat aan hebben wel in staat zijn die zelf te vinden.
Hopelijk kunnen we met elkaar de ergste ellende voorkomen!

[joriz]

Dit werkt ook wel en dan een mailtje naar de betreffende klanten:

find /home -name 'com_jce' -type d

Gelukkig lijkt het aantal klanten wat deze module gebruikt mee te vallen.

[Bollocks37]

Op deze manier pak je neem ik aan ook de installs van Joomla 2.5 die veilig zijn, dat lijkt me niet zo handig en een hoop extra werk te veroorzaken.
En hij komt bij ons verschrikkelijk veel voor, heel veel mensen gebruiken nou eenmaal Joomla (vraag mij ook niet waarom :)).

[hostb]

Zijn er al mensen die slimme oplossingen hiervoor hebben bedacht?

[Bollocks37]

Imand was zo vriendelijk om onderstaand voor ons te maken.
Ik deel het graag hier.
Het is een hulpmiddel en je zult zien dat hij aanslaat op versies van Joomla die een andere directory structuur hebben.
Ik adviseer is het gedeelte waar hij de chmod uitvoert uitgeschakeld te laten en het handmatig te controleren.
Je krijgt in elk geval een overzicht van wat er op de server staat wat al heel behulpzaam is.
Het is gemaakt voor Plesk.


#! /bin/sh

SEARCH_BASE="$(fgrep HTTPD_VHOSTS_D /etc/psa/psa.conf | awk '{print $2}')"
JCE_MINVER=20011 # version 2.0.11

echo "Searching in ${SEARCH_BASE}"
find "${SEARCH_BASE}" -wholename '*/administrator/components/com_jce/jce.xml' | while read conffile; do
JOOMLA_DIR="$(echo "${conffile}" | sed -e 's@/administrator/components/com_jce/jce.xml@@')"
JCE_VERSION="$(fgrep '<version>' "${conffile}" | sed -e 's@<@#@g' -e 's@>@#@g' | cut -d'#' -f3)"
JCE_VERNUM="$(echo "${JCE_VERSION}" | awk -F'.' '{print ($1*10000)+($2*100)+$3}')"
if [ "${JCE_VERNUM}" -lt "${JCE_MINVER}" ]; then
echo "Found JCE component version ${JCE_VERSION} in ${JOOMLA_DIR}"
# chmod -v 0000 "${JOOMLA_DIR}/plugins/editors/jce/tiny_mce/plugins"
fi
done

[hostb]

Bedankt, dit is voor plesk zo te zien. Hoe zou je dit voor directadmin doen?

[vDong]

Dit vervangen

SEARCH_BASE="$(fgrep HTTPD_VHOSTS_D /etc/psa/psa.conf | awk '{print $2}')"

Door

SEARCH_BASE="/home"