Joomla-CMS-Websites mit der wohl höchsten Anzahl von Einbrüchen:
Das US-Cert warnt vor kritischen Sicherheitslücken in Joomla. Betroffen sind alle Joomla-Versionen bis 2.5.13 (aktuell ist 2.5.16) und bis 3.1.4 (aktuell ist 3.2.0), denn wie auf der Security-Seite von Joomla nach zu lesen ist, sind auch die Version 3.1.5 und alle davor sicherheitskritisch!
In den Vorversionen können über die integrierte Media-Verwaltung Scripte eingespielt werden, teilweise ohne das sich ein Benutzer angemeldet hat. Solche Scripte (Schadsoftware, Virus) werden dann unter Umständen verwendet, um darüber weitere Schäden zu verursachen, also nicht nur Schäden an Ihrem eigenen Webspace inklusive Auslesen des FTP-Passwortes, sondern unter Umständen sogar Zugriff auf das entsprechende Administrations-Panel, z.B. Confixx, cPanel, Plesk und damit wieder Zugriff auf mySQL – Datenbanken und Mail-Systeme, wo wieder andere Passwörter womöglich in Mails gespeichert sind!
Ein Joomla-Update durch zu führen, ist auch leider nicht immer einfach und wird den Anwendern von jeder Version zur anderen Version schwierig bis vollständig unmöglich gemacht!
In der neuesten 3.x Version waren gar keine Hinweise zu finden, daß ein Update notwendig ist und die Joomla-Update-Version muß unter Umständen gesucht werden! Sie befindet sich dann unter „System Control Panel“ – und dort auf der rechten Seite unter „unknow Joomla“ – Was für ein Wahnsinn, hier schlechte Entwickler sich leisten, denn niemand kommt darauf, die Update-Funktion unter einem solchen Link zu suchen!
Aber auch in der Version z.B. 2.5.11 behauptet die Update-Funktion, daß Joomla auf dem aktuellsten Stand ist! In diesem Fall prüfen Sie bitte die configuration.php, ob Sie ggf. hier das Passwort gegen ein ungültiges ersetzt haben (zu empfehlen) und ändern Sie dort das FTP-Passwort auf ein korrektes und probieren Sie es dann ein paar mal und plötzlich können Sie den Update durchführen!
Da fragt sich jeder, warum muß Joomla FTP-Zugriff haben, um lediglich zu prüfen, ob die Version aktuell ist? Warum fragt Joomla das FTP-Passwort nicht bei einer notwendigen Installation im Admin-Panel einfach ab, wenn ein Update durchgeführt werden soll und unterläßt die Speicherung des FTP-Passwortes im Klartext in der configuration.php?
Im Übrigen können wir allen nur empfehlen für Joomla einen separaten FTP-User anzulegen, dies geht z.B. unter Plesk wunderbar. Der separate FTP-User kann dann für Joomla verwendet werden, hat aber grundsätzlich nie Zugriff auf das Webspace-Verwaltungs-Interface, z.B. Joomla-Panel!
Auf den vielen Webspaces, die 1awww.com hostet, kommen immer wieder Einbrüche vor, auch wenn dies nur ein Bruchteil ist (ca. 1 % pro Jahr im Verhältnis aller Webspaces), weil die eingesetzten Sicherheitssysteme bei 1awww.com bereits das Austesten und Suchen von Schwachstellen durch Hacker zum Teil erkennt und dann verhindert, aber Angriffe erfolgen teilweise von diversen IPs aus verschiedenen Ländern und unter Umständen ist der nächste Versuch des Hackers über eine andere IP, dann erfolgreich, eine gültige URL zu finden, die genau diese Schwachstelle enthält!
Wir können über 7 Jahre belegen, daß 97 % aller Einbrüche in Joomla-Webspaces erfolgten und dann jeweils so schlimm, daß mit den Scripten, die eingespielt wurden, immer weitere Schäden verursacht wurden, wie z.B. Versand von Scam-Mails, um Kreditkarten-Daten von gutgläubigen Bürgern zu erhaschen usw!
Wir setzen hiermit Joomla auf die Liste der „gefährlichen Produkte„!
Bedenken Sie in jedem Fall, daß Provider Sie hier nicht vor Schäden schützen können, denn Sie können in Ihren Webspace einspielen, was Sie möchten, haben jedoch auf die Sicherheit der eingespielten Scripte selbst zu achten! Sind diese Scripte nicht sicher und bieten diese Möglichkeiten, in den Webspace einzudringen und darüber Schäden zu verursachen, sind Sie voll verantwortlich für alles, was über diese Schadsoftware verursacht wird. Sie können dann versuchen, sich an die jenigen zu wenden, die Ihren Webspace gehackt haben, werden aber in der Regel leider kaum Erfolg haben, denn a) sind die Ermittlungsbehörden mit solchen Einbrüchen überfordert b) gibt es keine internationalen kurzen Wege zwischen den Ermittlungsbehörden – ja, ja – in der Hoffnung, daß sich dies durch den aktuellen Datenskandal endlich ändern wird! Wir haben schon über solche Einbrüche in Webspaces geschrieben:
Übrigens: Version 2.5.15 behauptet auch unter Umständen, daß es keine neue Version gibt. Hier hilft unter Updates – darüber Optionen auf „Langzeit“ umzustellen! Offensichtlich hat Joomla bei Normal-Update hier ebenfalls einen Bug!
Ich hatte bisher bei keinem Update von Joomla 2.5 oder 3.x ein Problem. Die hier geschilderten Problem mit FTP dürften bei vielen auch gar nicht auftreten, denn wenn die cgi richtig konfiguriert ist, dann benötigt Joomla keine FTP Zugangsdaten.
Seit Joomla 2.5 funktioniert der integrierte Updater sehr gut. Ich kenne das Problem mit dem nicht anzeigen von neuen Updates auch nur in Kombination mit einem konfigurierten FTP-Benutzer. Anscheinend hat Joomla einige Problem mit dem FTP-Layer. Aber ich würde sowieso jedem davon abraten diesen zu verwenden.
Die angesprochenen Sicherheitslücken sind halt wirklich sehr gefährlich und daher sollte man das System auf den neuesten Stand bringen.