'Joomla brengt Apache in gevaar'

Dit zegt ontwikkelaar Sander Temme, die lid is van de Apache Software Foundation. De default installatie van Joomla wil namelijk schrijfrechten in een root-folder van de open source-webserver. Beheerders die Joomla installeren op een Linux-server waar ook Apache draait, moeten zich wel bewust zijn dat ze een verdedigingslinie opgeven, waarschuwt Temme.

Malware planten

Hij heeft Joomla als concreet voorbeeld genoemd in een beveiligingssessie op een Apache-conferentie, meldt Webwerelds zustertitel Network World. Ook andere programma's vragen echter permissies die als niet of minder veilig gelden. Het voornaamste struikelpunt van Temme is schrijfrechten in Apache's rootfolder voor documenten (DocumentRoot, of DocRoot).

De webserver leest de bestanden in die map om ze te kunnen serveren voor websites. Schrijfrechten maken het mogelijk om via een lek of fout kwaadaardige code te plaatsen in de folder, waardoor de malware terecht kan komen op alle websites die op de dan besmette Apache-webserver draaien.

Temme adviseert dan ook om géén default installatie van pakketten als Joomla te doen. Open Source Matters, de non-profit organisatie achter Joomla, bevestigt tegenover Network World de default instelling en verdedigt die; het is vanwege installatiegemak. "Dit is gebruikelijk voor een content management systeem met een grafische installer en package manager. Het is een teken van ons streven naar krachtig gebruiksgemak", luidt de verklaring.

Onveilige instellingen

Eerder waren configuratiefouten al de oorzaak van grootschalig misbruik van Nederlandse websites. Legitieme sites zijn toen via onder meer Joomla gekraakt en ingezet voor een phishing-aanval op ING-klanten.

Aanvankelijk leek er sprake van een lek in een verouderde versie van Joomla. Verder uitzoeken door Webwereld leverde de conclusie op dat het ging om onveilige instellingen. Dit betrof ook het toekennen van volledige schrijf- en leesrechten voor bepaalde mappen.

Meestgebruikte webserver

Apache is nog altijd de meestgebruikte webserversoftware ter wereld. Het heeft volgens marktmeter NetCraft een marktaandeel van bijna 60 procent. De nummer twee is IIS (Internet Information Server) van Microsoft, dat automatisch meekomt met Windows Server. IIS heeft nog geen 25 procent van de markt.

Verduidelijking toegevoegd dat de bewuste root-folder voor documenten, waar een default-installatie van Joomla schrijfrechten wil, de DocRoot is. Met link.