CVE-2017-20253: SQL-injection i Joomla My Projects 2.0

CVE-2017-20253 er en sårbarhed i Joomla-komponenten My Projects version 2.0. Sårbarheden er en SQL-indsprøjtning, det vil sige en fejl, hvor et system ikke tjekker input godt nok, så en angriber kan sende egne databasekommandoer gennem et almindeligt inputfelt. Fejlen sidder i parameteren VerAyari, som komponenten bruger til at slå oplysninger op i databasen. En angriber kan sende et specialkonstrueret kald til komponenten og få databasen til at udlevere data, den ikke skulle udlevere, uden at skulle logge ind først.

Det rammer Joomla-installationer, der har komponenten My Projects i version 2.0 installeret. Det gælder typisk mindre virksomheder og foreninger, der bruger komponenten til at vise projektoversigter eller referencer på deres hjemmeside. Er komponenten ikke installeret, er I ikke ramt af denne konkrete sårbarhed.

En angriber kan uden login hente indhold fra jeres database, herunder brugernavne, adgangskodehash og andre systemdata, som komponenten har adgang til. I praksis kan det bruges til at skaffe adgangskoder, som senere bruges til at logge ind som administrator eller til at gætte adgangskoder til andre systemer, hvis de samme koder er genbrugt. Sårbarheden giver ikke i sig selv adgang til at ændre data eller lukke hjemmesiden ned, men den lækker fortrolige oplysninger, der kan bruges til videre angreb.

CVSS-score er 8,2 ud af 10, hvilket er alvorligt. Angrebet kræver ingen adgangskode og ingen handling fra en bruger, og det kan udføres over internettet mod en almindelig webadresse. Det gør sårbarheden nem at udnytte automatisk med scripts. Fortrolighed er ramt hårdt, mens det ikke er muligt at ændre data eller lukke systemet ned via denne fejl. Der er ikke belæg for, at fejlen bliver udnyttet aktivt i angreb, men da metoden er offentligt beskrevet, kan det ændre sig hurtigt.

Prioritér disse skridt:

1. Undersøg om Joomla-siden bruger komponenten My Projects, og i givet fald hvilken version. Find det ud af via Joomla-administrationen under Komponenter.
2. Er komponenten ikke i brug, så fjern den helt fra installationen. Det lukker hullet med det samme.
3. Er komponenten nødvendig, så kontakt leverandøren for en opdateret version, da version 2.0 er sårbar.
4. Kan komponenten ikke fjernes eller opdateres straks, så bloker adgang til komponentens endpoint via en webapplikationsfirewall eller webserverens konfiguration, indtil en løsning er på plads.
5. Gennemgå adgangslogfiler for usædvanlige kald med parameteren VerAyari for at se, om komponenten allerede er blevet udnyttet.
6. Har I ikke selv ressourcer til at gennemgå Joomla-installationen eller sætte en midlertidig blokering op, bør I hente hjælp udefra til det.