CVE-2017-20254: SQL-injection i Joomla User Bench 1.0
SQL-indsprøjtning i Joomla-komponenten User Bench 1.0 lader angribere uden login læse jeres database. Afinstallér komponenten eller blokér adgangen.
Hvad er det?
CVE-2017-20254 er en sårbarhed i Joomla-komponenten User Bench version 1.0. Fejlen er en SQL-indsprøjtning, en teknik hvor en angriber sender databasekode i stedet for almindelige data til en webside, så koden bliver udført direkte i virksomhedens database. Sårbarheden ligger i parameteren userid, som bruges i webadressen index.php med option=com_userbench&view=detail&userid. Ved at indsætte skadelig kode i denne parameter kan en angriber trække oplysninger ud af databasen, herunder brugernavne, adgangskoder og konfigurationsdata, uden at have et login til systemet.
Hvem rammer det?
Det rammer virksomheder og foreninger, der driver et Joomla-website med tredjepartskomponenten User Bench i version 1.0 installeret. Komponenten bruges typisk til medlemsprofiler eller brugerlister på foreningshjemmesider og mindre virksomhedswebsites. Er komponenten ikke installeret, er websitet ikke ramt af denne konkrete sårbarhed.
Hvad kan ske?
En angriber kan uden at logge ind hente indhold direkte fra databasen bag websitet, herunder administratorers adgangskoder, kundedata eller andre personoplysninger. Med adgangskoder i hånden kan angriberen ofte logge ind som administrator og få fuld kontrol over websitet, sætte skadelig kode ind eller lukke siden helt ned. For en dansk virksomhed betyder det risiko for databrud, der skal anmeldes til Datatilsynet, og for tab af kundernes tillid.
Hvor alvorligt er det?
CVSS-scoren er 8,2 ud af 10, hvilket er alvorligt. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over internettet med lav teknisk kompleksitet. Konsekvensen for fortrolighed er høj, da angriberen kan læse hele databasen, mens integritet og tilgængelighed påvirkes mindre. Der er offentligt kendte tekniske detaljer, der beskriver præcis, hvordan angrebet udføres, men vi har ikke set bekræftede rapporter om udnyttelse i Danmark.
Hvad gør jeg nu?
Følg punkterne i denne rækkefølge for at lukke hullet og begrænse skaden:
- Undersøg om jeres Joomla-website har komponenten User Bench installeret, og afinstallér den, hvis den ikke er i aktiv brug.
- Er komponenten nødvendig, så kontakt udvikleren for en opdateret version, da der ikke findes en officiel sikkerhedsopdatering til version 1.0.
- Kan komponenten ikke fjernes med det samme, så blokér adgang til com_userbench via en webapplikationsfirewall eller i webserverens konfiguration.
- Gennemgå database- og webserverlogs for tegn på tidligere forespørgsler mod userid-parameteren.
- Skift adgangskoder til administrator- og databasekonti, hvis logs viser tegn på kompromittering.
- Få hjælp fra en sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om jeres website er blevet ramt.
Afinstallér komponenten inden for 48 timer
Vi anbefaler, at I afinstallerer User Bench-komponenten, hvis den ikke er nødvendig, da der ikke findes en officiel opdatering til version 1.0. Skal I fortsætte med at bruge den, bør adgangen til com_userbench blokeres, mens I finder en alternativ løsning. Det er ikke forsvarligt at vente til en planlagt opdatering, da angrebet kan udføres uden login og med enkle midler.
Tidslinje
Konkrete eksempler
Foreningswebsite med medlemsprofiler
En dansk forening driver sit website i Joomla og bruger User Bench til at vise medlemsprofiler. En angriber sender en manipuleret forespørgsel til userid-parameteren og henter adgangskoder til administratorkontoen. Med disse adgangskoder logger angriberen ind og ændrer websitets indhold, uden at nogen bruger har klikket på noget.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores Joomla-website bruger User Bench?
Tjek listen over installerede komponenter i Joomla-administrationen under Extensions, eller søg efter mappen com_userbench i websitets filer. Findes komponenten ikke, er I ikke ramt af denne sårbarhed.
Kan vi vente til den næste planlagte opdatering?
Nej. Angrebet kan udføres uden login og kræver ingen handling fra en bruger, og der findes ikke en officiel opdatering, I kan vente på. Blokér adgangen eller fjern komponenten, inden I gør andet.
Er sårbarheden udnyttet i praksis?
Der findes offentligt kendte tekniske detaljer om, hvordan angrebet udføres, men vi har ikke set bekræftede rapporter om udnyttelse mod danske virksomheder.
Skal vi anmelde det til Datatilsynet?
Kun hvis I finder konkrete tegn på, at persondata er blevet hentet fra databasen. Gennemgå logs for forespørgsler mod userid-parameteren for at afklare det, og kontakt evt. en rådgiver, hvis I er i tvivl.
Hvad gør vi, hvis vi ikke kan afinstallere komponenten?
Blokér adgang til com_userbench via en webapplikationsfirewall eller i webserverens konfiguration, og overvej at finde en anden komponent til samme funktion.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Joomla! Component User Bench 1.0 contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through the userid parameter. Attackers can send GET requests to index.php with the option=com_userbench&view=detail&userid parameter containing SQL injection payloads to extract sensitive database information including credentials and configuration data.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.