Nationaal Cyber Security Centrum - Ministerie van Veiligheid en Justitie

Beveiligingsadvies

Kansniveau is hoog Schadeniveau is hoog NCSC-2016-0955 [1.01]

Kwetsbaarheden in Joomla! CMS verholpen

26-10-2016 - Er zijn twee kwetsbaarheden verholpen in Joomla! CMS.

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

######################## UPDATE 1.01 #############################

Titel           : Kwetsbaarheden in Joomla! CMS verholpen
Advisory ID     : NCSC-2016-0955
Versie          : 1.01
Kans            : high
CVE ID          : CVE-2016-8869, CVE-2016-8870
                  (http://cve.mitre.org/cve/)
Schade          : high
                  Toegang tot gevoelige gegevens
                  Verhoogde gebruikersrechten
Uitgiftedatum   : 20161026
Toepassing      : Joomla! CMS
Versie(s)       : 3.4.4 - 3.6.3
Platform(s)     : 

Update
   Op basis van aanvullende informatie over de kwetsbaarheid met CVE-ID
   CVE-2016-8869 is de inschaling van de schade aangepast naar 'High'.
   Het is niet alleen mogelijk om een gebruiker met verhoogde rechten
   aan te maken, maar een kwaadwillende kan ook bepalen in welke groep
   de gebruiker wordt geplaatst, waaronder de 'administrator'-groep. 

Samenvatting
   Er zijn twee kwetsbaarheden verholpen in Joomla! CMS. 

Gevolgen
   Een kwaadwillende kan door het misbruiken van deze kwetsbaarheden
   een account aanmaken ondanks dat registratie is uitgeschakeld en
   zich registreren met 'administrator'-rechten op het kwetsbare
   systeem.

Beschrijving
   - CVE-2016-8869
   Door onjuist gebruik van ongefilterde gegevens kunnen kwaadwillenden
   zich registreren en zelf bepalen in welke groep ze terechtkomen,
   waaronder de 'administrator'-groep.
   
   - CVE-2016-8870
   Door onvoldoende controles kunnen gebruikers zich registreren
   ondanks dat registratie is uitgeschakeld.

Mogelijke oplossingen
   Joomla! heeft versie 3.6.4 van haar CMS uitgebracht om de
   kwetsbaarheden te verhelpen. Zie onderstaande pagina voor meer
   informatie:
   
   https://developer.joomla.org/security-centre.html

Hyperlinks
   https://blog.sucuri.net/2016/10
      /joomla-account-creation-vulnerability.html

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit 
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de 
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.


-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.3.2 (Build 16620)
Charset: utf-8
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=07c7
-----END PGP SIGNATURE-----

Wat is het NCSC?

NCSCstill

CSBN 2017

CSBN 2017