阿里云
阿里云多端小程序中小企业获客首选
发表主题 回复主题
  • 4808阅读
  • 2回复

[安全漏洞公告专区]【漏洞公告】 CVE-2017-14596:Joomla! LDAP 注入漏洞

级别: 论坛版主
发帖
241
云币
478
2017年9月20日,国外安全研究人员通过RIPS在Joomla!登录控制器中检测到以前未知的 LDAP 注入漏洞。这一漏洞可能允许远程攻击者用盲注技术拿到超级用户密码, 如果Joomla!3.7.5的网站配置了LDAP验证,只需要20秒,攻击者就可以拿到超级用户密码。 2x:aMWh  
;w^{PZBg  
=EUi| T4:  
Joomla!是构建网站的一个免费软件。它同时也是一个开源项目,因此和大多数开源项目一样Joomla是不断在更新的。Joomla已非常成功发展了七年,也因拥有数百万的用户而在全球广为使用。 =:Lc-y>  
具体详情如下:                                                                                                                                      
漏洞编号: 3/*<i  
CVE-2017-14596 s3oQ( wC %  
漏洞名称: Df0m  
Joomla!  LDAP 注入漏洞 +6\1 d5  
官方评级: ^spASG -o  
高危 ]`\~(*;[W9  
漏洞描述: 9P#<T7  
通过利用登录页中的漏洞, 普通的远程攻击者可以有效地提取 Joomla 使用的 LDAP 服务的所有身份验证凭据。这些包括超级用户的用户名和密码,以及Joomla!管理员。然后, 攻击者只需要上传定制 Joomla! 扩展,进行远程代码执行,就可以使用被劫持的信息登录到管理员控制面板,  接管 Joomla!系统, 以及潜在的 web 服务器。 F/U38[  
漏洞利用条件和方式: HKYJgx  
在joomla!配置为使用LDAP进行身份验证的条件下远程利用。 7_ao?}g  
漏洞影响范围: ~jM!8]=  
joomla!版本 1.5-3.7.5 5+Hw @CY3  
不受影响的版本 nHIW_+<Mf  
Joomla! Version 3.8.0 EALgBv>#ZL  
漏洞检测: d1n*wVl  
开发人员检查是否使用了LDAP认证功能,并在受影响范围内。 xkmqf7w  
漏洞修复建议(或缓解措施): g:fzf>oQ>p  
Joomla! 官方已经发布了新版本3.8.0解决了该漏洞,请受影响的用户及时下载使用新版本来防护该漏洞。 A9ru]|?  
情报来源: _2nNCu (  
  • https://blog.ripstech.com/2017/joomla-takeover-in-20-seconds-with-ldap-injection-cve-2017-14596/
  • https://www.joomla.org/announcements.html
  • https://downloads.joomla.org/
Ugv"A;l  
5hE mXZ%  
btv.M  
'Y:ZWac,  
Z)RV6@(  
75RQ\_zDu  
p$zj2W+sN  
KU)~p"0[6]  
<wO8=bem  
KcF#c_f   
%$}* y   
d9yfSZ  
E~'QC  
<ly.l]g  
kc}&\y  
ff.;6R\  
88M$mjx  
qo5WZ be  
Q*l_QnfG  
7W `gN[*  
~t.M!vk  
`=VN\W^&  
}@avG t;v  
XonI   
2]/[  
4/M~#  
I.RmBUq):s  
1 8kzR6(W  
:igURr  
= , ^eQZR:  
L[cl$ pYV  
2'5%EQW;0y  
Gs)2HR@>  
x,>r}I>^Q  
s'^"s_j  
~ (/OB w  
|*-&x:p7O  
C lekB  
v35=4>Y  
Rw#4 |&  
+ 4*jO5EZ  
Jx_BjkF  
[ 此帖被正禾在2017-09-21 18:09重新编辑 ]
级别: 管理员
发帖
333
云币
223836
只看该作者 沙发  发表于: 2017-09-27
顶帖
级别: 新人
发帖
7
云币
7
只看该作者 板凳  发表于: 2017-10-20
Re【漏洞公告】 CVE-2017-14596JoomlaLDAP 注入漏洞
发表主题 回复主题
« 返回列表上一主题下一主题

限100 字节
如果您在写长篇帖子又不马上发表,建议存为草稿
 
验证问题: ECS是阿里云提供的什么服务? 正确答案:云服务器
上一个 下一个
      ×
      全新阿里云开发者社区, 去探索开发者的新世界吧!
      一站式的体验,更多的精彩!
      通过下面领域大门,一起探索新的技术世界吧~ (点击图标进入)