Joomla新漏洞利用：CVE-2015-8562

NGINX | 2015年12月15日

Floyd Smith内容营销总监

Joomla中出现了一个新的零日漏洞利用。详情请参阅CVE-2015-8562。

建议立即更新Joomla；但如果无法更新，或无法更改后端服务器上的文件，可以在前端的NGINX或NGINX Plus中应用修复方案。

注意：即使今天已使用此NGINX配置修补网站，我们仍强烈建议尽快更新Joomla安装。

您可以通过以下网站了解有关该漏洞利用和补丁的信息：Sucuri博客、Ars Technica等。

识别攻击

最初的攻击来自以下IP地址：

2015 年 12 月 12 日，74.3.170.33
2015 年 12 月 13 日：146.0.72.83 和 194.28.174.106

此类攻击通常通过修改User-Agent标头实施，可根据标头中的以下值进行识别：JDatabaseDriverMysqli和O:（大写字母O后跟冒号）。

Joomla提供了以下攻击日志条目示例。

2015 Dec 12 16:49:07 clienyhidden.access.logSrc IP: 74.3.XX.XX / CAN / Alberta
74.3.XX.XX [12/Dec/2015:16:49:40 -0500] GET /contact/ HTTP/1.1 403 5322 http://google.com/ }__test|O:21:x22JDatabaseDriverMysqlix22:3:..{s:2:x22fcx22;O:17:x22JSimplepieFactoryx22:0:..{}s:21:x22x5C0x5C0x5C0disconnectHandlersx22;a:1:{i:0;a:2:{i:0;O:9:x22SimplePiex22:5:..{s:8:x22sanitizex22;O:20:x22JDatabaseDriverMysqlx22:0:{}s:8:x22feed_urlx22;s:60:..

在NGINX或NGINX Plus中应用修复

使用以下NGINX配置片段，阻止原始IP地址以及所有满足以下条件的请求：其User-Agent标头包含O:或JDatabaseDriverMysqli。如需阻止其他IP地址，请将其添加到第二个map块的列表中。

http {    map $http_user_agent $blocked_ua {
        ~(?i)O: 1;
        ~(?i)JDatabaseDriverMysql 1;
        default 0;
    }

    map $remote_addr $blocked_ip {
        74.3.170.33 1;
        146.0.72.83 1;
        194.28.174.106 1;
        default 0;
    }
    
    server {
        listen 80;
        if ($blocked_ua) { return 403; }
        if ($blocked_ip) { return 403; }
        # ...
    }
}