CVE-2017-20258: SQL-injektion i Joomla RPC Portfolio

CVE-2017-20258 er en SQL-indsprøjtning, en teknik hvor en angriber sender egne databasekommandoer gennem et inputfelt på hjemmesiden, i Joomla-komponenten RPC Responsive Portfolio version 1.6.1. Fejlen sidder i parameteren id, som bruges til at vise portfolio-elementer via komponenten com_pofos. En angriber kan sende et almindeligt GET-kald til index.php med skadelig kode i id-parameteren og på den måde få adgang til data, der ligger i den bagvedliggende database, uden at være logget ind.

Sårbarheden rammer virksomheder og organisationer, der driver en hjemmeside i Joomla og har installeret tredjepartskomponenten RPC Responsive Portfolio i version 1.6.1. Det er typisk mindre virksomheder, foreninger og selvstændige, der bruger komponenten til at vise et portfolio eller referenceliste på deres hjemmeside. Er komponenten ikke installeret, er I ikke ramt af denne konkrete sårbarhed.

En angriber kan uden login læse data direkte fra jeres database, herunder brugernavne, adgangskodehash, kundedata eller andre oplysninger, der ligger i samme database som Joomla-siden. I praksis kan det betyde, at kundeoplysninger eller admin-loginoplysninger lækkes, hvilket kan bruges til videre indbrud i systemet eller til afpresning. Angriberen kan ikke ændre data eller lægge siden ned med denne konkrete sårbarhed, men kan læse alt, hvad databasen indeholder.

CVSS-scoren er 8,2 ud af 10, hvilket er alvorligt. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over internettet med et simpelt GET-kald. Konsekvensen er høj læseadgang til fortrolige data (confidentiality), mens angriberen ikke kan ændre data i nævneværdig grad og ikke kan lægge systemet ned. Der er offentligt beskrevet en konkret metode til at udnytte fejlen i NVD-beskrivelsen, så teknikken er kendt og ligger klar til brug for enhver, der finder en sårbar installation.

Følgende trin lukker hullet og begrænser skaden, hvis det allerede er udnyttet.

1. Undersøg om komponenten RPC Responsive Portfolio (com_pofos) er installeret på jeres Joomla-side, og i hvilken version.
2. Er komponenten installeret, så deaktivér eller afinstallér den, indtil der findes en opdateret version fra udvikleren.
3. Gennemgå webserverens logfiler for kald til index.php med option=com_pofos og mistænkelig SQL-syntaks i id-parameteren.
4. Sæt en regel op i jeres webapplikationsbrandmur (WAF), der blokerer usædvanlige tegn i id-parameteren, hvis komponenten skal blive online kortvarigt.
5. Skift adgangskoder til databasen og til Joomla-admin, hvis I finder tegn på, at fejlen er blevet udnyttet.
6. Kontakt en sikkerhedsspecialist, hvis I ikke selv kan afgøre, om komponenten er sårbar, eller hvis I finder tegn på dataudtræk i logfilerne.