CVE-2017-20257: SQL-injektion i Joomla Quiz Deluxe 3.7.4

Sårbarheden findes i Joomla-tilføjelsen Quiz Deluxe version 3.7.4 (CVE-2017-20257). Fejlen er en SQL-injektion, som betyder, at en angriber kan indsætte egne databasekommandoer i et websted gennem funktionen ajaxaction.flag_question. Ved at manipulere parametrene stu_quiz_id eller flag_quest kan angriberen få webserveren til at udføre kommandoer, den ikke er beregnet til, og dermed hente data direkte fra databasen bag hjemmesiden.

Det rammer virksomheder, foreninger og kommuner, der driver et Joomla-website med komponenten Quiz Deluxe i version 3.7.4 installeret, typisk brugt til quizzer, tests eller brugerundersøgelser på hjemmesiden. Er komponenten ikke installeret, er webstedet ikke ramt af denne konkrete sårbarhed.

En angriber kan uden at logge ind hente indhold fra databasen, herunder brugerdata, e-mailadresser, adgangskoder gemt som hash og andre personoplysninger, som webstedet opbevarer. For en dansk virksomhed eller kommune kan det betyde brud på persondatasikkerheden, hvis kunde- eller borgerdata ligger i den samme database.

CVSS-score er 8,2 ud af 10, hvilket er alvorligt. Angrebet kræver ingen adgangskode og ingen handling fra en bruger, og det kan udføres over internettet med lav teknisk kompleksitet. Konsekvensen er høj fortrolighed, det vil sige, at angriberen kan læse data, mens integritet og tilgængelighed kun påvirkes i mindre grad eller ikke påvirkes. Der er ikke belæg for, at sårbarheden aktivt bliver udnyttet i angreb, men den tekniske beskrivelse er offentligt tilgængelig, hvilket gør det enkelt for en angriber at bygge et angreb.

Følg punkterne i denne rækkefølge:

1. Undersøg om jeres Joomla-website har komponenten Quiz Deluxe installeret, og find i givet fald versionsnummeret.
2. Er komponenten installeret, deaktivér den eller fjern den helt, indtil der findes en opdateret version, da der ikke er kendt en officiel rettelse.
3. Gennemgå webserverens logfiler for usædvanlige forespørgsler mod ajaxaction.flag_question eller mistænkelige parametre i stu_quiz_id og flag_quest.
4. Opdatér selve Joomla-kernen og andre tilføjelser til nyeste version for at reducere den samlede angrebsflade.
5. Overvej en webapplikationsfirewall, der kan blokere SQL-injektionsmønstre, hvis komponenten skal blive på webstedet i en overgangsperiode.
6. Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om komponenten er installeret, eller om databasen allerede er blevet tilgået uautoriseret.