Une nouvelle faille zero-day affecte Joomla. Les détails sont décrits dans CVE-2015-8562.
Nous vous recommandons de mettre à jour Joomla immédiatement. Toutefois, si cela vous est impossible ou si vous ne pouvez pas modifier les fichiers sur vos serveurs backend, vous pouvez appliquer un correctif dans NGINX ou NGINX Plus au niveau du frontend.
Remarque: nous vous recommandons vivement de mettre à jour vos installations Joomla dès que possible, même si vous corrigez aujourd’hui la vulnérabilité de votre site à l’aide de cette configuration NGINX.
Vous pouvez en savoir plus sur la faille et le correctif sur le blog de Sucuri ou sur Ars Technica, entre autres.
Identifier l’attaque
Les attaques initiales provenaient de ces adresses IP :
- Le 12 décembre 2015 – 74.3.170.33
- Le 13 décembre 2015 – 146.0.72.83 et 194.28.174.106
L’attaque est généralement menée en modifiant l’en-tête User-Agent, et peut être identifiée grâce aux valeurs suivantes dans cet en-tête : JDatabaseDriverMysqli et O: (lettre O majuscule suivie de deux-points).
Joomla fournit l’exemple suivant d’une entrée de journal issue d’une attaque.
2015 Dec 12 16:49:07 clienyhidden.access.logSrc IP: 74.3.XX.XX / CAN / Alberta
74.3.XX.XX [12/Dec/2015:16:49:40 -0500] GET /contact/ HTTP/1.1 403 5322 http://google.com/ }__test|O:21:x22JDatabaseDriverMysqlix22:3:..{s:2:x22fcx22;O:17:x22JSimplepieFactoryx22:0:..{}s:21:x22x5C0x5C0x5C0disconnectHandlersx22;a:1:{i:0;a:2:{i:0;O:9:x22SimplePiex22:5:..{s:8:x22sanitizex22;O:20:x22JDatabaseDriverMysqlx22:0:{}s:8:x22feed_urlx22;s:60:..Application d’un correctif dans NGINX ou NGINX Plus
Utilisez cet extrait de configuration NGINX pour bloquer les adresses IP d’origine ainsi que toute requête dont l’en-tête User-Agent contient O: ou JDatabaseDriverMysqli. Pour bloquer d’autres adresses IP, ajoutez-les à la liste du deuxième bloc map.
http { map $http_user_agent $blocked_ua {
~(?i)O: 1;
~(?i)JDatabaseDriverMysql 1;
default 0;
}
map $remote_addr $blocked_ip {
74.3.170.33 1;
146.0.72.83 1;
194.28.174.106 1;
default 0;
}
server {
listen 80;
if ($blocked_ua) { return 403; }
if ($blocked_ip) { return 403; }
# ...
}
}Pour plus d’informations sur la restriction de l’accès à votre site, consultez le Guide d’administration de NGINX Plus.
Partagez votre expérience dans les commentaires ci-dessous.
À propos de l’auteur
Articles de blog associés
Tendances actuelles des technologies cloud natives, de l’ingénierie de plateforme et de l’IA
Découvrez les principaux enseignements tirés des réponses à l’enquête annuelle F5 NGINX sur les dernières tendances en matière de technologies cloud natives, de sécurité, d’ingénierie de plateforme et d’IA.
Quels contrôleurs Ingress NGINX sont affectés par les vulnérabilités CVE-2022-4886, CVE-2023-5043 et CVE-2023-5044 ?
Lorsque de nouvelles CVE sont signalées, il est facile de ne plus savoir si elles concernent un outil de contrôleur Ingress NGINX particulier, car il existe plusieurs projets. Cet article présente les CVE et explique comment distinguer les différents projets de contrôleurs Ingress afin de dissiper toute confusion.
Votre API est-elle en temps réel ? Testez sa latence avec l’outil rtapi de NGINX
Votre API répond-elle aux requêtes en moins de 30 ms ? Si ce n’est pas le cas, il ne s’agit pas d’une API en temps réel offrant la faible latence exigée par la grande majorité des organisations. Mesurez la latence de votre API avec l’outil rtapi de NGINX et découvrez comment NGINX peut l’aider à offrir une réactivité en temps réel.
Un testeur d’expressions régulières pour NGINX et NGINX Plus
Le testeur d’expressions régulières (regex) pour NGINX et NGINX Plus vous évite de tâtonner en vous indiquant si une expression régulière utilisée dans un bloc location ou map correspond aux valeurs comme prévu. Il génère la configuration appropriée et affiche les valeurs des groupes de capture.
Caches partagés avec les clusters de cache NGINX Plus, partie 1
Optimisez la capacité de votre cache web en le répartissant entre plusieurs serveurs de cache web NGINX ou NGINX Plus. Découvrez comment procéder dans cet article.
Introduction aux microservices
Les microservices suscitent actuellement beaucoup d’intérêt. Cet article de blog est le premier d’une série de sept consacrée à la conception, au développement et au déploiement de microservices.