VietNetwork.Vn

1. Thông tin chung

Ngày 13/08/2008, một lỗ hổng nghiêm trọng của phần mềm Joomla 1.5 đã được công bố. Lợi dụng lỗ hổng này, hacker có thể sửa đổi mật khẩu của tài khoản quản trị cao nhất, từ đó đăng nhập và chiếm quyền điều khiển website.


2. Mô tả kỹ thuật

Joomla (   Đăng nhập để xem liên kết) là một hệ quản trị nội dung mã mở, được cung cấp miễn phí cho người sử dụng. Đây là một hệ quản trị nội dung có khả năng tùy biến cao, cung cấp sẵn nhiều chức năng, được người sử dụng ở khắp nơi trên thế giới cùng phát triển. Hiện nay Joomla có sẵn 2 bản cho người dùng lựa chọn: Joomla 1.0.x hoặc Joomla 1.5.x.

Ngày 13/08/2008, một hacker người Ba Lan đã công bố lỗ hổng nghiêm trọng của phần mềm Joomla, phiên bản 1.5.5 và các phiên bản 1.5.x trở về trước. Đây là phiên bản mới nhất tính đến thời điểm công bố.  Lỗ hổng tồn tại trong thành phần (component) com_user, cho phép hacker có thể reset password của người dùng đầu tiên trong hệ thống Joomla (thường là người dùng quản trị cao nhất). Do đây là thành phần mặc định của Joomla nên khả năng reset password thành công là 100%.

Sau khi reset password, hacker có thể đăng nhập với tài khoản quản trị (mặc định là admin) và mật khẩu vừa đặt lại. Nếu hệ thống không sử dụng tài khoản mặc định, hacker sẽ phải đoán tên đăng nhập để khai thác.

Các phiên bản Joomla 1.0.x không bị mắc lỗi này.

3. Cập nhật bản vá

Do tính chất đặc biệt nghiêm trọng của lỗ hổng trên, các nhà phát triển Joomla đã ngay lập tức đưa ra bản vá. Hiện nay, tại Việt Nam, hàng loạt website sử dụng Joomla chưa vá lỗi đã nằm trong tầm kiểm soát của các hacker. Vì vậy, Trung tâm an ninh mạng Bkis khuyến cáo các tổ chức cá nhân đang sử dụng Joomla 1.5.x nhanh chóng thực hiện các công việc sau đây để đảm bảo an toàn cho hệ thống:

Đổi tên mật khẩu quản trị cao nhất, kiểm tra lại các tài khoản quản trị khác và xóa các tài khoản không cần thiết.

• Kiểm tra lại hệ thống đề phòng hacker đã thâm nhập, dò tìm loại bỏ backdoor, virus...
• Cập nhật phiên bản mới nhất Joomla 1.5.6 tại   Đăng nhập để xem liên kết