CVE-2017-20279: SQL-fejl i Joomla Payage 2.05
Kritisk SQL-fejl i Joomla-udvidelsen Payage 2.05 giver hackere adgang til din database uden login.
Hvad er det?
CVE-2017-20279 er en SQL-injektionssårbarhed (en fejl hvor angribere kan snige ondsindet kode ind i databaseforespørgsler) i Joomla-udvidelsen Payage version 2.05. Fejlen sidder i en parameter kaldet aid, som bruges når systemet behandler betalinger. Ved at sende en særligt udformet web-forespørgsel kan en angriber manipulere databasen og trække fortrolige oplysninger ud — alt sammen uden at have et brugernavn eller adgangskode. Teknikken kaldes blind SQL-injektion og kan foregå både ved at stille ja/nej-spørgsmål til databasen (boolean-baseret) eller ved at måle svartider (tidsbaseret).
Hvem rammer det?
Sårbarheden rammer dig, hvis din virksomhed driver et Joomla-baseret website med Payage-udvidelsen i version 2.05 installeret — typisk webshops eller websites der håndterer online betalinger via Joomla. Da angrebet kan udføres af alle på internettet uden forudgående login, er alle sådanne installationer i risikogruppen, uanset størrelse eller branche.
Hvad kan ske?
En angriber kan udnytte fejlen til at hente oplysninger ud af din database — det kan inkludere kundedata, brugernavne, adgangskoder, e-mailadresser og betalingsrelaterede oplysninger. Ifølge CVSS-vurderingen er fortroligheden af dine data i høj risiko, mens angriberen har begrænset mulighed for at ændre data. Der er ikke umiddelbar risiko for, at dit site går ned. Et datalæk af denne type kan dog medføre bøder under GDPR (EU’s databeskyttelsesforordning), tab af kundernes tillid og potentielle erstatningskrav.
Hvor alvorligt er det?
Sårbarheden er vurderet til 8,2 ud af 10 (Alvorlig) i den internationale CVSS-skala. Den scorer højt fordi:
- Angrebet kan udføres over internettet fra hele verden
- Det kræver ingen teknisk forberedelse eller særlige rettigheder
- Ingen brugerinteraktion er nødvendig — angriberen handler helt alene
- Konsekvensen for dine fortrolige data er høj
Det er med andre ord en lav-barriere sårbarhed med potentielt alvorlige følger.
Hvad gør jeg nu?
Følg disse trin hurtigst muligt, helst inden for de næste par dage:
- Find ud af om du bruger Payage: Bed din webmaster eller IT-ansvarlige tjekke, om Payage 2.05 er installeret på jeres Joomla-site under Udvidelser → Administrer.
- Opdatér eller afinstallér udvidelsen: Undersøg om der findes en nyere version af Payage hos udgiveren. Hvis ikke, bør du midlertidigt deaktivere eller afinstallere udvidelsen, til en patch er tilgængelig.
- Tjek dine logs: Bed din webmaster gennemgå serverlogfiler for mistænkelige forespørgsler til index.php med parameteren aid — særligt fra ukendte IP-adresser.
- Skift adgangskoder: Skift adgangskoder til din Joomla-administrator og din database som en sikkerhedsforanstaltning.
- Underret de berørte: Hvis I vurderer, at data kan være tilgået, har I pligt til at indberette bruddet til Datatilsynet inden for 72 timer i henhold til GDPR.
Handl inden for 48 timer
Vi anbefaler, at du øjeblikkeligt får deaktiveret Payage 2.05-udvidelsen på dit Joomla-site, hvis I ikke kan opdatere til en sikker version nu. En SQL-injektionsfejl som denne er velkendt og relativt enkel at udnytte for en erfaren angriber. Kontakt din webmaster eller en IT-sikkerhedskonsulent i dag, og lad dem gennemgå jeres logs for at afklare, om angrebet allerede er forsøgt.
Tidslinje
Konkrete eksempler
Datatyveri via betalingsside
En angriber besøger din Joomla-shops betalingsside og tilføjer ondsindet SQL-kode til web-adressen i stedet for et gyldigt betalings-ID. Systemet sender forespørgslen videre til databasen, som returnerer navne, e-mailadresser og hashede adgangskoder på alle dine kunder. Alt dette sker uden at angriberen nogensinde logger ind.
Blind udtrækning af administratoroplysninger
Ved hjælp af tidsbaseret blind SQL-injektion sender en angriber hundredvis af automatiserede forespørgsler til din side og bruger svartiderne til at kortlægge databasens indhold tegn for tegn. Over tid kan angriberen rekonstruere Joomla-administratorens brugernavn og adgangskode-hash, som efterfølgende kan forsøges knækket offline.
Forberedelse til videre angreb
En angriber udnytter sårbarheden til at kortlægge strukturen i din database og identificere tabeller med persondata. Oplysningerne sælges videre på det mørke net (dark web) eller bruges til målrettede phishing-angreb mod dine kunder, som stoler på e-mails der tilsyneladende kommer fra din virksomhed.
Ofte stillede spørgsmål
Hvad er SQL-injektion, og hvorfor er det farligt?
SQL-injektion betyder, at en angriber sniger ondsindet kode ind i et felt eller en webadresse, som dit system sender videre til databasen. Databasen tror, det er en legitim forespørgsel og udfører den — og kan derved udlevere data, den ikke burde. Det er en af de ældste og mest udbredte angrebsmetoder på webapplikationer.
Kan jeg se, om nogen allerede har udnyttet sårbarheden?
Måske. Bed din webmaster gennemgå serverlogfiler og lede efter usædvanlige forespørgsler til adressen index.php?task=make_payment med mærkelige værdier i aid-parameteren. Logfiler gemmes typisk i 30-90 dage, så handle hurtigt. Et sikkerhedsfirma kan hjælpe med en grundigere analyse.
Jeg bruger Joomla, men ikke Payage — er jeg i fare?
Nej, denne specifikke sårbarhed berører kun Joomla-sites med Payage 2.05-udvidelsen installeret og aktiveret. Selve Joomla-platformen er ikke ramt. Har du ikke Payage, er du ikke i risikogruppen for netop dette angreb.
Skal jeg anmelde et potentielt datalæk til Datatilsynet?
Hvis I har grund til at tro, at persondata kan være tilgået af uvedkommende, ja. GDPR kræver, at du anmelder et brud på persondatasikkerheden til Datatilsynet inden for 72 timer efter, at I er blevet opmærksomme på det. Du kan anmelde på datatilsynet.dk. Er du i tvivl, så kontakt en juridisk rådgiver eller din databeskyttelsesrådgiver (DPO).
Hvornår kommer der en opdatering til Payage?
Det er i skrivende stund ukendt, om og hvornår udvikleren bag Payage udgiver en sikkerhedsopdatering. Vi anbefaler, at du kontakter udgiveren direkte og følger med på deres officielle kanaler. Indtil en patch er tilgængelig, bør udvidelsen være deaktiveret.
Ramte produkter
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Joomla Payage 2.05 contains an SQL injection vulnerability that allows unauthenticated attackers to manipulate database queries by injecting SQL code through the aid parameter. Attackers can send GET requests to index.php with malicious aid values in the make_payment task to extract sensitive database information using boolean-based blind or time-based blind techniques.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.