Jetzt Joomla updaten!
Das Entwicklerteam von Joomla hat einen neuen Update auf 3.7.3 veröffentlicht, indem 230 Bugs geschlossen werden! Unter anderem werden davon 3 sicherheitskritische Bugs (sogenannte Vulnerabilities) geschlossen, die es Hacker ermöglichen, in den Webspace einzudringen und Administrator-Rechte zu erlangen!

Die eine Sicherheitslüche (Vulnerability) ist gelistet im CVE unter der CVE-2017-9933 und ist damit extrem kritisch. Dabei können Hacker mit der Adressen-Übermittlung von Seiten (URLs) diese fälschen und mittels SQL-Injection unter anderem neue User anlegen, die dann mit Rechten eines Administrators an alles heran kommen!

Gefahren, wenn Updates nicht eingespielt werden:

Früher wurden gehackte Webspace oft unbrauchbar gemacht, um deren Kunden zu ärgern. Heute werden gehackte Webspaces oft von Hackern für die Verbreitung von illegalem Inhalt verwendet! Illegale Inhalte können sein: Spam, Kinderpornografie, terroristisches Material und Raubkopien von Musik und Videos! Die Haftung liegt dabei beim Webmaster, also der Person, die Joomla installiert hat!

Haftung des Webmasters für fehlende Updates:

Um daß noch mal genauer festzuhalten: Webmaster sind für die Einspielung der Scripts in den Webspace voll verantwortlich und haftbar. Sie dürfen nur einwandfreie Software einspielen! Der Server-Hoster kann nicht wissen, was Kunden in den Webspace einspielen und ist auch nicht zu einer Überwachung verpflichtet! Es ist also wichtig, entweder selbst die Joomla Webspaces upzudaten oder sich für einen Update-Service (Wartungsvertrag) zu entscheiden.

Joomla Updates führen oft zu Fehlern und Fehlermeldungen:

Bei Joomla stellen wir immer wieder fest, daß Updates oft „knallen“ und dann extreme Eingriffe notwendig sind, die auch oft mehrere Stunden Arbeit bedeuten, um Joomla so zu fixen, daß alle Updates installiert werden können! Bei gleichen Installation läßt sich oft ein sogar gleiches Plugin nicht aktualisieren! Dann ist unter Umständen auch ein Entfernen dieses Plugins nicht möglich und auch nicht eine Neuinstallation! Hier scheint es so, daß Hacker dann bereits Joomla „angeknackst“ haben, also schon in Joomla eingedrungen sind, aber es dennoch nicht erreicht haben größeren Schaden zu verursachen!

Es ist also darauf zu achten, möglichst wenig Plugins und Themes in Joomla zu installieren und alle anderen, die nicht benötigt werden oder deren Herkunft und Sicherheit unklar ist, zu entfernen! Ferner muß dafür gesorgt werden, daß diese Plugins ebenfalls auch regelmäßig upgedatet werden, wobei nie bekannt ist, wann diese Plugin-Updates heraus gegeben werden! Viel schlimmer ist auch der Umstand, daß es manche Entwickler von Plugins gibt, die alle 2-3 Tage ein Update benötigen, wobei es hier oftmals gar nicht um sicherheitskritische Fehler geht, die geschlossen werden müssen. Das große Problem hierbei, daß Webmaster verunsichert werden und am Anfang täglich nach Updates schauen und nach einige Zeit sich um diese gar nicht mehr kümmern!

Dem Update-Wahn entkommen

Diesem Update-Wahn zu entkommen, ist nur möglich, wenn neue Projekte und ggf. auch bestehende Projekte auf andere Plattformen migriert werden, bei denen keine CMS-Systeme mehr auf dem Server benötigt werden, sondern die einzelnen Seiten durch einen Generator einkopiert werden und somit von einander getrennt sind.

Webseiten entwickeln mit besseren Systemen – schauen Sie mal unter: https://www.prima-website.com

Joomla im Alltag nicht sicher:

Zusammenfassend: Joomla ist ein sehr oft eingesetztes CMS-System, daß keinen sicheren Betrieb im Alltag garantiert! Der offene Quellcode, unter dem Joomla entwickelt ist, kann von Hackern durchforstet werden nach gefährlichen Programmierfehlern (Sicherheitslöcher = Vulnerabilities), die den Hackern das Hacken ermöglichen. Nach der Bekanntgabe eines Updates vergleichen Hacker den alten Programmcode gegen den neuen Programmcode und können leicht die Veränderungen erkennen. Dazu dienen auch sogenannte Vergleichsprogramme, die genau die veränderten Programmzeilen zweier Dateien mit Programmcode verglichenen (alt gegen neu) und die Änderungen auflisten. Hier ein ganz simples nachgestelltes Beispiel:

1023 (-) $administrator = $_REQUEST[‚administrator‘];
1023 (+) $administrator = $_POST[‚administrator‘];

In Zeile 1023 wurde in der Datei xyz.php eine Änderung durchgeführt von statt REQUEST zu verwenden, wurde auf POST geändert. Daraus resultiert, daß in der alten Version über die URL die Variablen für den Administrator mit übergeben werden konnten und wer nicht upgedatet hat, auch weiterhin übergeben werden können! Bei Verwendung von POST dagegen ist die Übertragung nicht via URL möglich!

Nach einem Einbruch reicht es nicht:

Die irrige Meinung, nach einem Einbruch müssen nur die Scripte in der Datei-Ebene ersetzt werden, ist trügerisch und falsch! Der Content befindet sich bei Joomla in der Datenbank. Dieser kann nach einem Einbruch geändert werden und ja, es kann Programmcode eingeschleust werden, der gefährlich ist und auch php-Code enthalten kann! So kann ein Hacker in einen Artikel (also irgendeine Webseite des Webauftritts, Programmcode einschleusen, der bei Aufruf die Scripte im Datei-System ändert und/oder auch andere Aktivitäten durchführt! Das Finden von solchen eingeschmuggelten Programmcodes ist sehr schwierig, weil niemand außer dem Hacker weiß, was in die Datenbank einkopiert worden ist und wo! Das Neueinspielen der Datei-Struktur und dann das Einspielen von Updates, bringt also keinen Erfolg!

Fehlerhafter Programmcode wird auch in Bild-Dateien eingeschleust, die in der Regel im Filesystem abgelegt werden. Ruft der Abrufer eine Seite mit einem manipulierten Bild auf, erntet der Abrufer ggf. einen Virus in seinem Computer oder es wird eine andere gemeine Aktion durchgeführt!