Hay un nuevo exploit de día cero en Joomla. Los detalles se describen en CVE-2015-8562.
Le recomendamos que actualice Joomla de inmediato, pero si no puede hacerlo o no puede modificar los archivos de sus servidores backend, puede aplicar una corrección en NGINX o NGINX Plus en el frontend.
Nota: Recomendamos encarecidamente que actualice sus instalaciones de Joomla lo antes posible, aunque hoy mismo aplique un parche a su sitio con esta configuración de NGINX.
Puedes obtener más información sobre el exploit y el parche en el blog de Sucuri o en Ars Technica, entre otros.
Identificación del ataque
Los ataques originales procedían de estas direcciones IP:
- El 12 de diciembre de 2015 – 74.3.170.33
- El 13 de diciembre de 2015: 146.0.72.83 y 194.28.174.106
El ataque suele llevarse a cabo modificando la cabecera User-Agent, y puede identificarse por estos valores dentro de la cabecera: JDatabaseDriverMysqli y O: (la letra O mayúscula seguida de dos puntos).
Joomla proporciona el siguiente ejemplo de una entrada de registro de un ataque.
2015 Dec 12 16:49:07 clienyhidden.access.logSrc IP: 74.3.XX.XX / CAN / Alberta
74.3.XX.XX [12/Dec/2015:16:49:40 -0500] GET /contact/ HTTP/1.1 403 5322 http://google.com/ }__test|O:21:x22JDatabaseDriverMysqlix22:3:..{s:2:x22fcx22;O:17:x22JSimplepieFactoryx22:0:..{}s:21:x22x5C0x5C0x5C0disconnectHandlersx22;a:1:{i:0;a:2:{i:0;O:9:x22SimplePiex22:5:..{s:8:x22sanitizex22;O:20:x22JDatabaseDriverMysqlx22:0:{}s:8:x22feed_urlx22;s:60:..Aplicar una solución en NGINX o NGINX Plus
Utilice este fragmento de configuración de NGINX para bloquear las direcciones IP originales y cualquier solicitud en la que el encabezado User-Agent contenga O: o JDatabaseDriverMysqli. Para bloquear direcciones IP adicionales, añádalas a la lista del segundo bloque map.
http { map $http_user_agent $blocked_ua {
~(?i)O: 1;
~(?i)JDatabaseDriverMysql 1;
default 0;
}
map $remote_addr $blocked_ip {
74.3.170.33 1;
146.0.72.83 1;
194.28.174.106 1;
default 0;
}
server {
listen 80;
if ($blocked_ua) { return 403; }
if ($blocked_ip) { return 403; }
# ...
}
}Para obtener más información sobre cómo restringir el acceso a su sitio, consulte la Guía de administración de NGINX Plus.
Comparte tu experiencia en los comentarios a continuación.
Sobre el autor
Artículos relacionados del blog
Únete a F5 NGINX en AppWorld 2024
Descubre las numerosas razones para asistir al evento insignia de F5, que incluirá un emocionante anuncio sobre la cartera de productos NGINX.
Rotación de certificados SSL/TLS sin reinicios en NGINX Open Source
La función de diccionario compartido permite configurar NGINX sin necesidad de reiniciarlo al renovar los certificados SSL/TLS.
Exposición de APIs en Kubernetes
La unidad 2 de Microservices March 2022 se centra en cómo exponer tus API en Kubernetes. Aquí tienes enlaces a los recursos que necesitas: la retransmisión en directo del 14 de marzo, artículos de blog y otros recursos de preparación, y el laboratorio práctico «Protege las API de Kubernetes mediante la limitación de solicitudes».
NGINX Sprint 2.0: visión clara, código renovado y nuevos compromisos con el código abierto
Hoy, en NGINX Sprint 2.0, anunciamos cómo respaldaremos nuestra visión del futuro de las aplicaciones modernas con una mayor presencia en la comunidad de código abierto, incluida la participación en el proyecto comunitario Kubernetes, nuevos proyectos de software de código abierto y la arquitectura de referencia para aplicaciones modernas.
Presentamos NGINX Plus R22
NGINX Plus R22 incorpora nuevas funcionalidades, como la compatibilidad con OCSP para verificar la revocación de certificados en TLS mutuo, el uso de varios proveedores de identidad OIDC en una configuración, el seguimiento en tiempo real de la limitación de solicitudes y conexiones en el panel de NGINX Plus y mejoras en NGINX JavaScript.
Presentamos NGINX Plus R17
NGINX Plus R17 incorpora compatibilidad con la limitación de velocidad en dos fases y con TLS 1.3, la versión más reciente del protocolo Transport Layer Security. La configuración de OpenID Connect es más sencilla y NGINX ModSecurity WAF es el doble de rápido que antes. También se ha actualizado el módulo JavaScript de NGINX.