Новости Joomla

‼️👩‍💻 Релиз безопасности Astroid 3.3.11 - шаблона-конструктора для Joomla.

‼️👩‍💻 Релиз безопасности Astroid 3.3.11 - шаблона-конструктора для Joomla.

14 часов назад (на момент публикации заметки) была обнаружена уязвимость в популярном шаблоне-конструкторе Astroid Framework. При атаке на сайт устанавливается бэкдор — системный плагин под названием plg_system_blpayload. Если вы обнаружили этот плагин на своем веб-сайте, значит, он скомпрометирован, и вам необходимо восстановить чистую резервную копию, созданную до установки плагина.

Уязвимость позволяет загружать файлы на сайт и в дальнейшем получить права администратора Joomla.
В рамках атаки (из-за которой и была обнаружена уязвимость) на сайт устанавливался плагин plg_system_blpayload, который при каждой загрузке страницы снаружи он скрытно связывается с (платформой для SEO, работающей на черном рынке (ссылку помещать не будем, просим поверить на слово). Получает список скрытых спам-ссылок (сайты азартных игр, фишинга, мошенничества), подобранный под ваш домен, затем внедряет эти ссылки в HTML-код вашей страницы непосредственно перед рендером - невидимые для посетителей, но полностью читаемые поисковыми роботами. Это называется "отравление SEO" ("отрпавление поисковой выдачи").

Однако, эта уязвимость может использоваться в других целях. Поэтому необходимо срочно проверить ваши сайты, где стоит Astroid Framework и обновить его до версии не ниже 3.3.11. Релиз безопасности выпущен 4 часа назад (на момент написания заметки).

Скачать релиз безопасности Astroid

@joomlafeed

0 Пользователей и 1 Гость просматривают эту тему.
  • 2 Ответов
  • 3387 Просмотров
*

PenguiN560

  • Осваиваюсь на форуме
  • 11
  • 0 / 0
Добрый день.

Столкнулся сразу с несколькими проблемами:
1. после восстановления из бекапа на хостинге(архив + бд) сайт не загружается(белый экран, ошибка 500), в логах пишет:
Код
PHP Fatal error: Call to undefined method JApplicationSite::isClient() in public_html/plugins/system/logout/logout.php on line 48
Бекап делается ежедневно ночью, на следующий день сайт работал. Перед восстановлением чистил полностью папку, пробовал заходить из приватной вкладки без кук и все равно ответ один.
2. предпосылки к восстановлению: при работе со стилями шаблона для сайта шаблон перестал работать. В админке при попытке зайти в настройки данного шаблона выдавал ошибку связанную с JSON форматом(позже я и сам в этом убедился в БД, у шаблона было обрезанное поле params).
Сейчас 2 бекапа(один когда шаблон выдавал ошибку и второй за 1 день до этого, когда сайт работал), выдают одну и ту же ошибку описанную в пункте 1. Что могло пойти не так и как это исправить?

Joomla 3.8.2, была обновлена в начале недели с чистой 3.6.5, предоставленной на хостинге, через админку с серверов и никаких проблем всю неделю не наблюдалось.
PHP: 5.6
MySQL: 5.7.19-17
logout.php
Код
	public function __construct(&$subject, $config)
{
parent::__construct($subject, $config);

47 // If we are on admin don't process.
48 if (!$this->app->isClient('site'))
49 {
return;
}

$hash  = JApplicationHelper::getHash('PlgSystemLogout');

if ($this->app->input->cookie->getString($hash))
{
// Destroy the cookie.
$this->app->input->cookie->set($hash, '', 1, $this->app->get('cookie_path', '/'), $this->app->get('cookie_domain', ''));

// Set the error handler for E_ALL to be the class handleError method.
JError::setErrorHandling(E_ALL, 'callback', array('PlgSystemLogout', 'handleError'));
}
}
« Последнее редактирование: 17.11.2017, 10:52:05 от PenguiN560 »
*

PenguiN560

  • Осваиваюсь на форуме
  • 11
  • 0 / 0
Попытался на одном из тестовых серверов распаковать и заменить все содержимое содержимым из архива установщика Joomla 3.8.2 кроме папки installation и файлов в корневой папке, результат все тот же. Более ранние бекапы так же отказываются работать, пытался разместить на соседнем хостинге - та же ситуация. пытаюсь отключать плагины по мере всплытия ошибок через таблицу extensions, пока список отключенных составил plg_system_logout, после его отключения главная начала плеваться ошибкой шаблона как и раньше. При попытке зайти в админку появлись все те же ошибки Call to undefined method JApplicationSite::isClient() в плагинах plg_system_stats и plg_system_remember. После их отключения та же ошибка в компоненте login
Код
PHP Fatal error: Call to undefined method JApplicationAdministrator::isClient() in public_html/administrator/components/com_login/models/login.php on line 148
С джумлой ранее не работал, поэтому теряюсь в догадках куда дальше копать, если даже после замены из архива ситуация не изменилась...
*

PenguiN560

  • Осваиваюсь на форуме
  • 11
  • 0 / 0
Очередные попытки:
Установил рядом чистую 3.6.5 и так же обновил до 3.8.2, затем ей дал бд неработчего сайта(подсунул configuration.php целиком) и вижу все так же не работающий шаблон на сайте без отключения тех плагинов и наконец попал в админку. Получается что проблема в одном из установленных компонентов? Одного понять не могу, в момент создания бекапов сайт работал без каких либо проблем. Пробовал восстанавливать бекапы 1 и 2 дня назад - та же ошибка. Перед восстановлением полностью чистил папку. Почему же сайт не работает из бекапа и как его восстановить? Переносить модули, устанавливать и настраивать все компоненты/плагины по новой очень не хочется.

upd. Отключил все модули плагины и компоненты через админку, поставил стандартный шаблон по умолчанию и все равно тот сайт отказывается работать. Получается где-то внутри есть лишний файл который подхватывается автоматически при наличии и мешает работе CMS? Других вариантов представить не могу, как и понять почему после восстановления из любого бекапа даннаго сайта проявляется такая фигня.
« Последнее редактирование: 17.11.2017, 17:24:59 от PenguiN560 »
Чтобы оставить сообщение,
Вам необходимо Войти или Зарегистрироваться