CVE-2017-20254: SQL-injektion i Joomla User Bench 1.0

CVE-2017-20254 er en SQL-injektionssårbarhed (en fejl hvor ondsindet kode kan sættes ind i databaseforespørgsler) i tilføjelseskomponenten User Bench 1.0 til hjemmesidesystemet Joomla!. Fejlen sidder i en URL-parameter kaldet userid. En angriber kan sende en særligt udformet webadresse til din hjemmeside og narre systemet til at udføre vilkårlige kommandoer direkte i din database. Det kræver ingen brugernavn, adgangskode eller særlige rettigheder — alle på internettet kan forsøge angrebet. Resultatet er, at angriberen kan trække følsomme oplysninger ud af databasen, herunder brugernavne, adgangskoder og konfigurationsdata.

Sårbarheden rammer dig, hvis du driver en hjemmeside bygget på Joomla! og har installeret komponenten User Bench version 1.0. Det er typisk relevant for:

• Virksomheder med Joomla-baserede hjemmesider eller kundeportaler
• Foreninger og organisationer der bruger Joomla til medlemshåndtering
• Webshops eller platforme der har udvidet Joomla med tredjepartskomponenter

Er du usikker på, om du bruger denne komponent, kan din webmaster eller it-leverandør hurtigt tjekke det for dig.

Hvis en angriber udnytter denne sårbarhed, kan de:

• Stjæle loginoplysninger — brugernavne og krypterede (eller ukrypterede) adgangskoder fra alle brugere på hjemmesiden
• Hente fortrolige data — kundeoplysninger, konfigurationsindstillinger og andre data gemt i databasen
• Bruge stjålne adgangskoder andre steder — mange brugere genbruger passwords, så et databrud her kan åbne døre til e-mail, netbank og andre systemer
• Forberede yderligere angreb — med databaseadgang kan angriberen kortlægge systemet og eskalere angrebet

Angrebet efterlader ikke nødvendigvis synlige spor, og du opdager det måske ikke uden aktiv overvågning.

Sårbarheden er vurderet til 8,2 ud af 10 (Alvorlig) efter den internationale CVSS-skala. Det skyldes primært:

• Ingen login kræves — alle på internettet kan angribe uden forudgående adgang
• Lav angrebskompleksitet — det kræver ingen specialviden at udnytte fejlen; værktøjer til SQL-injektion er frit tilgængelige
• Høj fortrolighed på spil — angriberen kan læse hele databasens indhold

Angrebsvektoren er netværk, hvilket betyder angrebet kan gennemføres fra hvor som helst i verden. Der er dog ingen direkte risiko for at angriberen kan slette data eller tage kontrol over serveren via denne specifikke fejl alene.

Hvis du bruger Joomla! med komponenten User Bench 1.0, bør du handle hurtigt. Her er hvad du gør:

1. Find ud af om du er ramt — bed din webmaster eller it-leverandør om at tjekke, om User Bench 1.0 er installeret på din Joomla-side.
2. Deaktiver eller afinstaller komponenten — hvis du ikke aktivt bruger User Bench, skal den fjernes øjeblikkeligt. En deaktivering er ikke nok; komponenten skal afinstalleres helt.
3. Tjek om der er en opdatering — undersøg om udvikleren bag User Bench har udgivet en ny version der retter fejlen. Installer i så fald opdateringen.
4. Gennemgå dine logfiler — bed din webmaster om at tjekke serverlogfiler for mistænkelige forespørgsler med option=com_userbench for at se, om nogen allerede har udnyttet fejlen.
5. Skift adgangskoder — som en sikkerhedsforanstaltning bør alle administratorer og brugere på siden skifte deres adgangskoder, særligt hvis der er tegn på angreb.
6. Overvej en Web Application Firewall (WAF) — et ekstra beskyttelseslag der kan blokere SQL-injektionsforsøg, selv mod ukendte sårbarheder fremover.