Für JCE Pro wurde soeben ein kritisches Sicherheitsupdate veröffentlicht.

Betroffen sind alle Versionen vor 2.9.99.5. Wir empfehlen dringend, das Update SOFORT einzuspielen.⚠️ Wichtig: Prüft nach dem Update die Liste der Editor-Profile. Wenn dort ein neues Profil vorhanden ist, bei dem die Benutzergruppe «Public» hinzugefügt wurde, müsst ihr die Webseite leider als gehackt betrachten. In diesem Fall sollte die Webseite umgehend auf Schadcode, unbekannte Benutzerkonten und verdächtige Dateien überprüft werden.Es handelt sich um eine kritische Sicherheitslücke, die alle JCE Pro Versionen vor 2.9.99.5 betrifft. Die Schwachstelle ermöglichte es nicht authentifizierten Personen, manipulierte Editor-Profile hochzuladen und dadurch beliebige Dateien auf dem Webserver abzulegen. Damit konnte unter Umständen schädlicher Code auf betroffenen Webseiten ausgeführt werden. Empfohlene Sofortmassnahmen:

• JCE Pro umgehend auf Version 2.9.99.5 aktualisieren
• Anschliessend alle JCE Editor-Profile kontrollieren
• Prüfen, ob ein neues Editor-Profil mit der Benutzergruppe «Public» vorhanden ist.
• Prüfen, ob unbekannte oder kürzlich erstellte Editor-Profile mit der Benutzergruppe «Public» vorhanden sind.
• In diesem Fall sollten die Webseite, Benutzerkonten und Serverdateien umgehend überprüft werden.

 Betroffene Versionen:

• Alle JCE Pro Versionen vor 2.9.99.5

Die Aktualisierung kann direkt über den Joomla-Updater oder über den Downloadbereich von JCE Pro erfolgen. Zusätzliche Konfigurationsänderungen sind nicht erforderlich.JCE Pro 2.9.99.5 ist kompatibel mit Joomla 3, 4, 5 und 6. Unter Joomla 5 und Joomla 6 wird kein Backwards Compatibility Plugin benötigt. Weitere Informationen:
JCE Sicherheitsmeldung und Changelog Wir empfehlen allen Betreibern von Joomla-Webseiten mit JCE Pro, dieses Update unverzüglich einzuspielen und die Editor-Profile zu kontrollieren.

bei mir gibt es (aktiv) nur das Profil "Default" ?
Stefan

Müsste passen. Ev. hast Du die anderen mal gelöscht.
Es wären wahrsch. eher komische profilnamen.

habe nichts gelöscht, nur das Update eingespielt
 

Passt doch. Die anderen sind die Standard Profile. Also keine fremden oder komischen Profilnamen. Gut so.

Pascal Lohmann, im DACH-Forum als @kitepascal unterwegs hat eine Komponente programmiert, die rasche und unkomplizierte Soforthilfe bietet für Opfer des JCE- und Android-Hacks und als Wächter eine Seite überwacht und z.T. auch bereinigen kann.
Näheres findet sich im DACH-Forum in diesem Thread und auf der Seite von Pascal .
Achja, das Tool ist übrigens kostenlos ...

Guten Abend zusammen

Ich habe eine grundsätzliche Frage in diesem Zusammenhang:

Bei einer Seite wurde vor drei Jahren eine JCE Installation getestet und gleich wieder de-installiert. Joomla (damals 3) hat gesagt es sei alles gelöscht und ich habe auch keine Hinweise im Backend auf JCE gehabt (auch später nie die üblichen Update-Meldungen).
Nun habe ich den Hinweis bekommen, dass trotzdem noch JCE vorhanden sei.
Eine vertiefte Prüfung zeigt nun, dass die damalige "de-installation" offenbar nur die Datenbankeinträge, nicht aber die installierten Files, gelöscht hat.
Die Seite ist mittlerweile auf Joomla 6.1.1, ich habe kein auffälliges Verhalten festgestellt und ein Check mit dem JCE-profile-checker meldet "clean".

Jetzt zur Frage: 
Kann die Seite, da die Files des JCE (oder zumindest ein Teil) immer noch vorhanden sind und obwohl die Erweiterung nicht aktiviert war, dennoch durch den aktuellen Hack kompromittiert worden sein?

Viele Grüsse
Urs





 

So wie ich das verstehe lief das folgendermassen:
1. Hack vorbereiten: durch die JCE-Lücke neues Profil (oder mehrere) erstellen das 'public' ist
2. Hack ausführen durch den Upload von mind. einer Datei durch dieses öffentliche Profil im JCE

Für beide Punkte werden die JCE-Files benötigt (Extension und/oder Plugins). Wurden keine zus. Dateien durch den Hack hochgeladen und alle JCE-Files sind mittlerweile komplett weg (auch Plugins), würde ich mal sagen das du safe bist, denn ohne Editor kein Upload durch den Editor.

Vielen Dank für Deine Beurteilung.

Diese Überlegungen habe ich auch angestellt, aber mit kompetenter Zweitmeinung traue ich mich auch entsprechend zu Handeln!

Was ich getan habe: Ich habe ein Backup von vor dem Bekanntwerden eingespielt, und alles was in irgendeiner Form "jce" enthält gelöscht und die Änderungen von Hand nachgeführt.

Meine Lehre daraus ist aber auf jeden Fall: Traue niemals einer Deinstallation einer Komponente ohne nachträgliche Kontrolle der Filestruktur und der Datenbank.

Vielen Dank und 
Grüsse 
Urs
 

Also ich meinte dass zum J-Standardverhalten bei Deinstallation schon länger auch das löschen der Ordner/Dateien dazugehört, alles andere wäre fahrlässig (im System verbleibende Dateileichen ohne Updates).

Und falls diese nicht gefunden werden (z.B. wegen vorgängiger, manueller Deinstallation) wird eine entsprechende Meldung bei der Deinstallation angezeigt.