CVE-2017-20259: SQL-fejl i Joomla-udvidelsen OSDownloads

CVE-2017-20259 er en sårbarhed i Joomla-udvidelsen OSDownloads version 1.7.4. Fejlen er en SQL-indsprøjtning (SQL injection), hvor angriberen indsætter egen databasekode i et webadresseparameter, så webserveren udfører kommandoen mod jeres database. Fejlen sidder i parameteren id, som bruges, når man kalder index.php med option=com_osdownloads og view=item. En angriber kan sende et almindeligt GET-kald med skadelig kode i id-parameteren og få databasen til at udlevere oplysninger, den ikke burde vise, herunder brugernavne, adgangskodehash og konfigurationsdata.

Det rammer virksomheder, foreninger og kommunale hjemmesider, der kører Joomla med udvidelsen OSDownloads i version 1.7.4. Udvidelsen bruges typisk til at dele filer, brochurer, manualer eller andre downloads på hjemmesiden. Er OSDownloads ikke installeret, er I ikke berørt af denne konkrete sårbarhed, uanset hvilken version af Joomla selv I kører.

En angriber kan uden at logge ind sende specialformede forespørgsler og læse indhold direkte fra jeres database. I praksis kan det være Joomla-administratorens adgangskodehash, brugeroplysninger på kunder eller medlemmer, og i nogle opsætninger forbindelsesoplysninger til databasen. Med adgangskodehash i hånden kan angriberen forsøge at knække dem offline og efterfølgende logge ind som administrator, hvorefter hjemmesiden kan overtages helt.

CVSS-score er 8,2 ud af 10, kategorien alvorlig. Angrebet kræver ingen adgangskode og ingen handling fra en bruger på hjemmesiden, det udføres over internettet med et simpelt webkald. Konsekvensen er høj fortrolighed, altså udlæsning af data, men fejlen giver ikke i sig selv mulighed for at ændre eller slette data, og den lægger ikke siden ned. Der er offentligt beskrevet, præcis hvordan angrebet udføres, herunder den konkrete forespørgsel, hvilket gør det nemt at afprøve for en angriber, der aktivt søger efter sårbare Joomla-sider.

OSDownloads 1.7.4 er en ældre og formentlig ikke længere aktivt udviklet udvidelse. Gør følgende:

1. Undersøg om OSDownloads er installeret på jeres Joomla-side, og hvilken version. Er den installeret, deaktivér eller afinstallér udvidelsen, indtil en rettet version findes.
2. Er I afhængige af funktionen, skift til en aktivt vedligeholdt downloadudvidelse til Joomla i stedet.
3. Gennemgå adgangslogs for usædvanlige kald til index.php med option=com_osdownloads for at afklare, om siden allerede er blevet undersøgt eller angrebet.
4. Skift adgangskoder for Joomla-administratorer og andre brugere, hvis der er tegn på, at data er udtrukket.
5. Begræns adgang til administrationsdelen af Joomla med en ekstra loginlag eller IP-begrænsning som et generelt sikkerhedsnet.
6. Er I i tvivl om, om jeres side er ramt, eller har I fundet tegn på misbrug, bør I få en ekstern gennemgang af sikkerheden.