CVE-2017-20256: SQL-fejl i Survey Force Deluxe til Joomla
Sårbarhed i Joomla-udvidelsen Survey Force Deluxe tillader dataudtræk uden login. Fjern eller deaktiver komponenten nu.
Hvad er det?
CVE-2017-20256 er en SQL-indsprøjtning, en teknik hvor en angriber sender kode ind i et databasekald for at få systemet til at udføre uautoriserede forespørgsler, i Joomla-udvidelsen Survey Force Deluxe version 3.2.4. Fejlen ligger i parameteren ‘invite’, som ikke renser input korrekt. En angriber kan sende et almindeligt GET-kald til komponenten med en forfalsket SQL-kommando i denne parameter og derved hente data direkte fra virksomhedens database.
Hvem rammer det?
Det rammer virksomheder og kommuner, der driver en Joomla-hjemmeside med udvidelsen Survey Force Deluxe i version 3.2.4 installeret, typisk brugt til kundeundersøgelser eller tilfredshedsmålinger på hjemmesiden. Er udvidelsen ikke installeret, er man ikke berørt af denne konkrete fejl.
Hvad kan ske?
En angriber kan uden login læse data fra databasen bag hjemmesiden, herunder brugeroplysninger, adgangskoder i krypteret form og andre oplysninger, der er gemt i samme database. For en dansk virksomhed betyder det risiko for udlevering af kunde- eller medarbejderdata, hvilket kan udløse en anmeldelsespligt efter databeskyttelsesreglerne.
Hvor alvorligt er det?
CVSS-scoren er 8,2 ud af 10, alvorlig. Angrebet kræver ingen login og ingen handling fra en bruger, det sker over netværket med et almindeligt webkald. Det er teknisk enkelt at udføre, men der er ingen offentlige rapporter om, at det er udnyttet i praksis endnu, og angriberen kan kun læse data, ikke ændre eller slette dem.
Hvad gør jeg nu?
Der findes ingen officiel opdatering til denne sårbarhed. Prioritér derfor følgende:
- Deaktivér eller afinstallér udvidelsen Survey Force Deluxe fra Joomla-installationen, hvis den ikke er strengt nødvendig.
- Kan udvidelsen ikke fjernes, blokér adgang til komponentens URL via jeres webserver eller en webapplikationsfirewall, indtil en løsning findes.
- Gennemgå webserverlogs for uventede GET-forespørgsler til komponenten med usædvanlige tegn i parameteren ‘invite’.
- Skift adgangskoder for databasebrugere og administratorer, hvis der er tegn på misbrug.
- Kontakt en it-sikkerhedsleverandør, hvis I ikke selv kan vurdere, om jeres installation er ramt, eller hvis logs viser tegn på angreb.
Fjern eller blokér komponenten nu
Vi anbefaler, at I fjerner Survey Force Deluxe fra jeres Joomla-installation, da der ikke findes en officiel rettelse. Kan komponenten ikke afinstalleres straks, bør adgangen blokeres midlertidigt via serverkonfiguration. Det er ikke forsvarligt at vente, da angrebet ikke kræver login og kan udføres med et almindeligt webkald.
Tidslinje
Konkrete eksempler
Kundeundersøgelse bliver indgang til databrud
En dansk detailvirksomhed bruger Survey Force Deluxe på sin Joomla-hjemmeside til at samle svar fra en kundetilfredshedsundersøgelse. En angriber finder komponenten via en søgning og sender et forfalsket GET-kald til invite-parameteren, hvorved han henter kundedata direkte fra databasen uden at logge ind. Virksomheden opdager først databruddet, når kunder begynder at modtage phishing-mails baseret på lækkede oplysninger.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres Joomla-hjemmeside har udvidelsen Survey Force Deluxe version 3.2.4 installeret. Tjek jeres liste over installerede udvidelser i Joomla-administrationen under Komponenter.
Findes der en opdatering, vi kan installere?
Der er ikke offentliggjort en officiel rettelse fra udvikleren på tidspunktet for denne sårbarheds offentliggørelse. Den sikre løsning er at fjerne eller deaktivere komponenten.
Kan vi vente til weekenden med at reagere?
Nej. Angrebet kræver ingen login og kan udføres med et enkelt webkald, så der er ingen praktisk barriere for en angriber. Deaktivering af komponenten tager kort tid og bør ske hurtigst muligt.
Hvordan tjekker vi, om vi allerede er blevet angrebet?
Gennemgå webserverens adgangslogs for GET-forespørgsler til Survey Force Deluxe med usædvanlige tegn som apostrofer, UNION eller SELECT i parameteren ‘invite’. Findes sådanne forespørgsler, bør I behandle situationen som et muligt databrud.
Skal vi anmelde det til Datatilsynet?
Hvis I finder tegn på, at persondata er blevet udtrukket, skal I vurdere anmeldelsespligten efter databeskyttelsesreglerne. Vi anbefaler at søge juridisk rådgivning parallelt med den tekniske håndtering.
Kan vi bare skjule komponenten i menuen i stedet for at fjerne den?
Nej. Sårbarheden ligger i selve komponentens kode, ikke i menupunktet. Komponenten kan stadig kaldes direkte via URL, selv om den er skjult i navigationen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Joomla Survey Force Deluxe 3.2.4 contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through the invite parameter. Attackers can send GET requests to the component with crafted SQL payloads in the invite parameter to extract sensitive database information.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.