Joomla rajoittaa Admin Toolsin turvaa

Selvittelin juuri Nicholas Dionysopoulosin kanssa kummallista läpivuotoa Admin Tools Pro:n Web Application Firewallissa. Yritykset kirjautua sivustoille eivät loppuneet vaikka IP-osoite asetettiin mustalle listalle. Kävi ilmi, että koko musta lista on hyödytön Joomlan hallintaliittymän turvaamisessa koska:

It turns out that Joomla! bypasses the onAfterInitialise event handler when showing the back-end log in page.

Admin Tools ei siis pääse väliin hallintaliittymässä joten sille pyrkiviä IP-osoitteita ei suodateta sen paremmin Auto IP blocking kuin IP blacklist -listoja vastaan. Tämä on rajoitus, joka Admin Toolsia käyttävien lienee hyvä tietää.

P.S. Nicholasin tweettejä ja kirjoituksia seuraavat osannevat arvata miten hienovaraisesti hän ilmaisi pettymyksensä tähän pikku löytöön...

TeroKankaanpera kirjoitti: P.S. Nicholasin tweettejä ja kirjoituksia seuraavat osannevat arvata miten hienovaraisesti hän ilmaisi pettymyksensä tähän pikku löytöön...

Voin kuvitella

Admin Tools päivittyi taas ja minusta näytti että julkaisumuistiossa oli juuri viittaus korjauksesta tähän.