CSIRT Panamá Aviso 2021-03-03 Joomla: Actualización de seguridad de Joomla 3.9.25
Gravedad: Alta
Fecha de publicación: Marzo 8, 2021
Última revisión: Marzo 3, 2021
Sitio web: https://www.joomla.org/
Sistemas Afectados: las versiones afectadas son:
desde la 3.2.0, hasta la 3.9.24;
desde la 3.0.0, hasta la 3.9.24;
desde la 2.5.0, hasta la 3.9.24;
desde la 1.6.0, hasta la 3.9.24.
I Descripción
Vulnerabilidades críticas que afectan a su núcleo, XSS (Cross Site Scripting), validación de entrada incorrecta, violación ACL (Access Control List) y limitación inadecuada de una ruta de acceso a un directorio restringido (path traversal).
II Impacto
Vulnerabilidad: CVE-2021-23126
Uso de la función insegura rand() dentro del proceso de generación de 2FA (autenticación de dos factores).
Vulnerabilidad: CVE-2021-23127
Uso de una longitud insuficiente para el proceso 2FA según el RFC 4226 de 10 bytes frente a 20 bytes.
Vulnerabilidad: CVE-2021-23128
La implementación de randval en el núcleo de FOF (FOFEncryptRandval), a pesar de no ser utilizada, empleaba una implementación potencialmente insegura que ha sido reemplazada por una llamada a random_bytes() y su backport que se envía dentro de random_compat.
Vulnerabilidad: CVE-2021-23129
La falta de filtrado de los mensajes mostrados a los usuarios podrían dar lugar a una vulnerabilidad de XSS.
Vulnerabilidad: CVE-2021-23130
La falta de filtrado de los campos de feed podría dar lugar a una vulnerabilidad de XSS.
Vulnerabilidad: CVE-2021-23131
Falta la validación de entradas en el gestor de plantillas.
Vulnerabilidad: CVE-2021-23132
El componente com_media podría permitir rutas que no están destinadas a la carga de imágenes.
Vulnerabilidad: CVE-2021-26027
Las comprobaciones incorrectas de ACL podrían permitir el cambio no autorizado de la categoría de un artículo.
Vulnerabilidad: CVE-2021-26028
La extracción de un paquete zip, específicamente diseñado, podría modificar archivos fuera de la ruta prevista.
Vulnerabilidad: CVE-2021-26029
Un filtrado inadecuado del contenido de los formularios podría permitir sobrescribir el campo author. Los componentes principales afectados son com_fields, com_categories, com_banners, com_contact, com_newsfeeds y com_tags.
III. Referencia a soluciones, herramientas e información
Actualización de Joomla en su sitio oficial, mediante el siguiente enlace: https://www.joomla.org/announcements/release-news/5834-joomla-3-9-25.htmlNextGen Gallery 3.5.0, desde el sitio del proveedor.
Fuentes:
- Instituto Nacional de Ciberseguridad, INCIBE. Avisos Seguridad, Actualización de seguridad de Joomla. Recopilado en: https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/actualizacion-seguridad-joomla-3925
- Security
Announcements. Mediante los siguientes enlaces:
- https://developer.joomla.org/security-centre/849-20210309-core-inadequate-filtering-of-form-contents-could-allow-to-overwrite-the-author-field.html
Información de contacto
CSIRT PANAMA
Computer Security Incident Response Team Autoridad Nacional para la Innovacion
Gubernamental
E-Mail: info@cert.pa
Phone: +507 520-CERT (2378)
Web: https://cert.pa
Twitter: @CSIRTPanama
Key ID: 16F2B124