CVE-2017-20252: SQL-indsprøjtning i Joomla NextGen Editor
Uautoriserede angribere kan udtrække data fra jeres database gennem Joomla-udvidelsen NextGen Editor 2.1.0. Fjern udvidelsen, da der ikke findes en opdatering.
Hvad er det?
CVE-2017-20252 er en SQL-indsprøjtning, en teknik hvor en angriber sender kommandoer direkte til databasen gennem et websteds inputfelter eller URL-parametre. Fejlen findes i Joomla-udvidelsen NextGen Editor version 2.1.0, i parameteren plname på siden index.php med option=com_nge og view=config. En angriber kan sende et almindeligt GET-forespørgsel med skadelig SQL-kode i denne parameter og få databasen til at udlevere oplysninger, den ikke skulle udlevere. Der kræves ikke login eller nogen handling fra en bruger på webstedet.
Hvem rammer det?
Det rammer virksomheder og kommuner, der driver et Joomla-baseret websted med udvidelsen NextGen Editor installeret i version 2.1.0. Udvidelsen bruges typisk til at redigere indhold eller uploade billeder i Joomla og er ofte installeret af et webbureau for flere år tilbage og siden glemt. Er udvidelsen ikke installeret, er webstedet ikke ramt af denne konkrete fejl.
Hvad kan ske?
En angriber kan uden login læse indhold fra databasen, herunder brugernavne, adgangskodehash, kundedata eller andre oplysninger, der ligger i den samme database som webstedet. For en dansk virksomhed kan det betyde lækage af personoplysninger, som skal anmeldes til Datatilsynet, og at oplysninger kan bruges til videre angreb, for eksempel login til administrationsdelen af webstedet.
Hvor alvorligt er det?
CVSS-score er 8,2 ud af 10, alvorlig. Angrebet kræver ikke login og ingen handling fra en bruger, det kan udføres over internettet med en almindelig webforespørgsel. Konsekvensen er høj for fortrolighed, altså udlæsning af data, men fejlen giver ikke i sig selv mulighed for at ændre data eller lukke webstedet ned. Der er offentliggjort teknisk detalje om, hvordan angrebet udføres, men vi har ikke set dokumentation for udbredt aktiv udnyttelse.
Hvad gør jeg nu?
Der findes ingen opdatering til NextGen Editor 2.1.0, så I skal fjerne risikoen ved at afinstallere udvidelsen.
- Undersøg om jeres Joomla-websted har udvidelsen NextGen Editor installeret, og find versionsnummeret.
- Afinstallér udvidelsen, hvis den ikke er nødvendig, eller find og indfør et alternativ, hvis funktionen bruges aktivt.
- Blokér adgang til com_nge i jeres webserver eller firewall, hvis udvidelsen ikke kan fjernes med det samme.
- Gennemgå adgangslogs for forespørgsler mod index.php med option=com_nge for at se, om der allerede er gjort forsøg på angrebet.
- Udskift adgangskoder til administrationsbrugere på webstedet, hvis I finder tegn på uautoriseret adgang.
- Kontakt en sikkerhedsrådgiver, hvis I finder spor af udnyttelse, eller hvis I er i tvivl om, hvilke udvidelser der kører på jeres Joomla-websted.
Fjern udvidelsen inden for få dage
Vi anbefaler, at I straks kortlægger, om NextGen Editor kører på jeres Joomla-websted, og fjerner udvidelsen, da udvikleren ikke har udsendt en rettelse. Det er kun forsvarligt at vente, hvis I med sikkerhed kan afvise, at udvidelsen er installeret. Kører den, bør fjernelsen eller blokeringen ske denne uge, da fejlen kan udnyttes uden login.
Tidslinje
Konkrete eksempler
Glemt udvidelse på et gammelt Joomla-websted
En dansk håndværksvirksomhed fik i sin tid bygget sit websted i Joomla af et lokalt webbureau, som installerede NextGen Editor til billedhåndtering. Bureauet lukkede senere, og udvidelsen er aldrig blevet fjernet eller opdateret. En automatisk scanning finder com_nge på webstedet og udtrækker kundeoplysninger fra databasen, uden at nogen i virksomheden bemærker det, før en kunde spørger til en mistænkelig e-mail med deres data.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er kun ramt, hvis jeres Joomla-websted har udvidelsen NextGen Editor installeret i version 2.1.0. Tjek jeres liste over installerede udvidelser i Joomla-administrationen under Udvidelser, eller søg efter mappen com_nge i jeres filsystem.
Hvordan finder vi ud af, om udvidelsen bruges hos os?
Log ind i Joomla-administrationen, gå til Udvidelser og Administrer, og søg efter NextGen Editor eller com_nge. Kan I ikke finde den der, kan I søge i webstedets filer efter mappen com_nge under administrator/components eller components.
Kan vi vente til weekenden med at rette dette?
Nej, det bør ikke vente til weekenden, hvis udvidelsen er installeret. Angrebet kræver ikke login og kan udføres med en simpel webforespørgsel, så eksponeringen løber, indtil udvidelsen er fjernet eller blokeret.
Findes der en opdatering, vi kan installere i stedet for at fjerne udvidelsen?
Der er ikke registreret en officiel opdatering fra udvikleren af NextGen Editor til denne fejl. Den sikreste løsning er derfor at afinstallere udvidelsen eller blokere adgangen til den, indtil I har fundet et alternativ.
Skal vi anmelde noget til Datatilsynet?
Kun hvis I finder konkrete tegn på, at data er blevet udtrukket fra jeres database, og at det omfatter personoplysninger. Gennemgå jeres logs for forespørgsler mod com_nge, og kontakt en rådgiver, hvis I finder mistænkelig aktivitet.
Hvad hvis vi ikke bruger Joomla?
Så er I ikke ramt af denne konkrete fejl, da den kun findes i Joomla-udvidelsen NextGen Editor. Det er dog altid en god vane at gennemgå, hvilke tredjepartsudvidelser der kører på jeres websted, uanset CMS.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Joomla NextGen Editor 2.1.0 contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL commands through the plname parameter. Attackers can send GET requests to index.php with option=com_nge&view=config and inject malicious SQL code in the plname parameter to extract sensitive database information.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.