Joomlaの新たな脆弱性を悪用する攻撃：CVE-2015-8562

NGINX | 2015年12月15日

Floyd Smithコンテンツマーケティングディレクター

Joomlaに新たなゼロデイ脆弱性を悪用する攻撃が確認されています。詳細はCVE-2015-8562に記載されています。

Joomlaを直ちに更新することを推奨します。更新できない場合や、バックエンドサーバー上のファイルを変更できない場合は、フロントエンドのNGINXまたはNGINX Plusに修正を適用できます。

注記：このNGINX設定を使用して本日サイトにパッチを適用する場合でも、Joomla環境をできるだけ早く更新することを強く推奨します。

このエクスプロイトとパッチについては、SucuriブログやArs Technicaなどでご確認いただけます。

攻撃の特定

最初の攻撃は、以下のIPアドレスから行われました：

2015年12月12日 – 74.3.170.33
2015年12月13日 – 146.0.72.83および194.28.174.106

この攻撃は通常、User-Agentヘッダーを変更することで実行され、ヘッダー内の次の値によって識別できます：JDatabaseDriverMysqliおよびO:（大文字のOの後にコロン）。

Joomlaでは、攻撃時のログエントリのサンプルとして、以下を提供しています。

2015 Dec 12 16:49:07 clienyhidden.access.logSrc IP: 74.3.XX.XX / CAN / Alberta
74.3.XX.XX [12/Dec/2015:16:49:40 -0500] GET /contact/ HTTP/1.1 403 5322 http://google.com/ }__test|O:21:x22JDatabaseDriverMysqlix22:3:..{s:2:x22fcx22;O:17:x22JSimplepieFactoryx22:0:..{}s:21:x22x5C0x5C0x5C0disconnectHandlersx22;a:1:{i:0;a:2:{i:0;O:9:x22SimplePiex22:5:..{s:8:x22sanitizex22;O:20:x22JDatabaseDriverMysqlx22:0:{}s:8:x22feed_urlx22;s:60:..

NGINXまたはNGINX Plusで修正を適用

このNGINX設定スニペットを使用すると、元のIPアドレスに加え、User-AgentヘッダーにO:またはJDatabaseDriverMysqliが含まれるリクエストをブロックできます。追加のIPアドレスをブロックするには、2つ目のmapブロックのリストに追加してください。

http {    map $http_user_agent $blocked_ua {
        ~(?i)O: 1;
        ~(?i)JDatabaseDriverMysql 1;
        default 0;
    }

    map $remote_addr $blocked_ip {
        74.3.170.33 1;
        146.0.72.83 1;
        194.28.174.106 1;
        default 0;
    }
    
    server {
        listen 80;
        if ($blocked_ua) { return 403; }
        if ($blocked_ip) { return 403; }
        # ...
    }
}