Hvala. Jesu li developeri sami pronašli bug ili je palo par sajtova pre nego što je pronađeno rešenje?
Vidim da piše:

Ovo je stvarno veliki bug ili sto bi rekli fatal security issue. Neautorizovani korisnik je ladno mogao da resetuje admin password i da udje :)))

Pa koliko ja sam skontao nije to 'ladno' vec ako bi imao 'odredjene okolnosti'.

A flaw in the reset token validation mechanism allows for non-validating tokens to be forged. This will allow an unauthenticated, unauthorized user to reset the password of the first enabled user (lowest id). Typically, this is an administrator user.

meni iz ovog njihovog opisa deluje prilicno lako.

Jesi ikad tako nesto pokusao? Mozes mi objasniti kako bi to izveo?

PokusaO nisam, a nisam ni pokusaLa. Zasto bih gubila vreme pokusavajuci da hakujem sopstveni sajt kad mogu na oficijalnom sajtu da vidim koliko je korisnika prijavilo upad.

Ti tvrdis da je to 'lako' pa me zato interesuje jesi probala da to uradis pa da mozes reci 'evo vidis da je lako'. Mislim lako je i upravljati AirBusom 330 samo kad znas - rekao bi pilot istog aviona.

Taj rad misk0. Ipak Joomla nije suplja kao phpBB nekada, kada je svaki dokonjak mogao da bude 'haker' i da uradi SQL injection i lako udje u admin panel.
No ipak ovaj bug je okarakterisan kao Severity: Critical.

Note, that changing the first users username may lessen the impact of this exploit (since the person who changed the password does not know the login associated with the new password).

^^ Zato nepisana (a bogme i pisana) security web pravila nalazu da ne treba ni na jednoj web aplikaciji drzati admin ID=1 i username 'Admin' ili 'Administrator'. Dakle sto vise odete dalje od default setovanja, manje su sanse za exploite.

Nisam ni ja probao, ali sudeći po ovome, prilično je lako. Uzgred, izgleda da je gomila sajtova sa Joomla-om 1.5 difejsovana. Pogledajte samo rezultate ove pretrage.

Ko zna, možda je ovaj Silencer napravio BUG. Nikad se ne zna. :)

A o cemu mi mlatimo ovde ceo dan: http://www.elitesecurity.org/t...e-zastititi-od-Kosovski-hakera

Da naravno da Joomla ima rupu u sebi i to ne rupu nego rupetinu sa kojom je moguce zameniti super user password i to ima svaki CMS ali ne ovoliko veliku

Pa dobro, ako znaš koja je rupa zašto ne pošalješ info ljudima koji prave Joomla-u kako bi ispravili bug?

Ovo je stvarno jedan od katastrofalnih propusta.
Evo ja nalazim korisnu primenu :) resetujem sifra, logujem se i metnem svoj link na njihovoj sajtu za page rank :)

imas nekih problema sa srpskim jezikom :D

Pa zasto prave nesto kada posle 3 godine oni ne mogu da zakrpe jednu OGROMNU RUPU

_{[Ovu poruku je menjao CIH dana 20.08.2008. u 19:51 GMT+1]}

O kojih 3 godina govoriš kada je Joomla 1.5 izašao ove godine? Nemoj da mešaš 1.0.x i 1.5.x to su dve odvojene distribucije, čak im se i način prikaza template-a razlikuje...

Sve u svemu - niko vas ne tera da koristite gotova (besplatna) rešenja - uključujući i Joomla-u... Lepo i piše u Users Agreement-u (koji niko ne čita) da instalirate na svoju odgovornost...

Tacno tako ne koristite

Au sramota :) sad sam video sta sam napisao :D

Stvar ubeđenja... ne vredi se raspravljati na tu temu

Upravo tako. Posle takvih core promena normalno da se ocekuje poneki bug, ali ipak ovo je enormno veliki bug... i pravo je cudo da do sada niko nije provalio to i poceo da rusi joomle sirom sveta. Mozda i jesu pravi hakeri, ali kada je to postao exploit koji je dospeo u ruke script kiddie-ja stvar je bila gotova.


Eh sad ovo je globalizovanje i pogresan rezon da ne kazem neopravdan attack na open source komunu.
Sta je tvoj savet - napisite sami joomlu ili tako neki CMS od nule pa cete izbeci mogucnost rupa. How yes no.

Inace oni koji su bili 'pametniji' su disable-ovali sve sto im ne treba na joomli ukljucujuci i login sistem za usere. Pa prosto ni nema one stranice gde se unosi token za reset pwd-a.

Inace kako ova nasa ministarsrstva skidaju footer (powered by joomla) je takodje dobar korak ka sigurnosti jer nece se pojaviti na googletu kada neko trazi 'powered by joomla' sajtove. Medjutim da li EULA Joomle to dozvoljava nisam siguran.

ovo je jedan po meni NAJVECI bag ikada na joomli lameri su se bash igrali :)

Pa ja ne znam da li je ikada na i jednoj aplikaciji bio veci bug.
Exploitovanje u 3 poteza bez ikakvih skripti, cuda....

Ovo je najveći bug da sam ja vidio do sad.
Jednostavno svako ko ima više od 2 grama mozga može da ti uništi web sajt (ako nije isključen ovaj sistem za reset passworda ili šta već).

Da li ovo znaci da Joomla definitivno gubi trku?

Mi o vuku a vuk na...

http://www.zone-h.org/componen...rrorwrp/Itemid,160/id,7747616/

http://www.zone-h.org/componen...rrorwrp/Itemid,160/id,7747569/


Evo sta je bag napravio od poznatijih sajtova.

Klikom na link videcete sudbinu joomle ako pored sebe nemate nekog ko zna php za 10-ku.

Evo sta bug doslovce radi-pojasnjen do tancina,istina na engleskom a i bolje sto nije na srpskom jer bi inace
svi domaci vlasnici joomla sajtova briznuli u plac i otisli do prve apoteke za sedative,uz intezivno znojenje lica i dlanova.

http://forum.joomla.org/viewtopic.php?f=430&t=317646

http://mcloide.wordpress.com/2...mla-15-password-reset-exploit/

Ovo je vec odavno prezvakana prica, ne kontam sta je ovde tako specijalno? Dva sajta iz Malezije? OK, jesu to UN sajtovi ali zasto nije taj sipos skinuo neki od 'jacih' koji isto koriste joomlu tipa http://www.unric.org , http://www.quizilla.com ili http://gsas.harvard.edu - zato sto ti admini rade svoj posao dobro i ozbiljno.

Da li ste znali se intranet za Citibank vrti upravo na joomli?


Hm... da za upgrade CMS sistema kakav je joomla i postovanje opstih web security principa ti treba profesor PHP-a... totalno netacno i nije opravdanje zasto neko nije na vreme uradio ono sto je trebalo.

U kom smislu, trku sa kim? Izasla je vec 1.5.7. verzija isto sa security riskom, ali to nije razlog da se ceo projekat okarakterise kao da je 'izgubio' na nekom polju.... po meni, projekat je mlad jos uvek i ova 1.5 serija mora da sazri... samo treba imati osnovno postovanje security principa i 99% exploita kakav je bio ovaj pre 1.5.6 se moze izbeci. Naravno nemoguce je biti bas 100% siguran, security i web su oblasti na kojima je potrebno da se kontinuirano radi i prate desavanja.