CVE-2017-20260: SQL-fejl i Joomla Price Alert

CVE-2017-20260 er en sårbarhed i Joomla-udvidelsen Price Alert version 3.0.2. Fejlen er en SQL-indsprøjtning, hvor en angriber kan indsætte egen databasekode i parameteren product_id, når der sendes forespørgsler til funktionen subscribeajax. SQL-indsprøjtning betyder, at systemet ikke renser brugerens input, før det bruges direkte i en databaseforespørgsel. Det gør det muligt for en angriber at trække data ud af databasen, som ikke er beregnet til at være offentlige, for eksempel adgangskoder og konfigurationsoplysninger. Angrebet kræver hverken login eller nogen handling fra en bruger på jeres side.

Sårbarheden rammer Joomla-installationer, hvor udvidelsen Price Alert version 3.0.2 er installeret og aktiv. Det drejer sig typisk om webshops eller produktsider, hvor kunder kan tilmelde sig prisalarmer på varer. Danske virksomheder med en ældre Joomla-baseret webshop, hvor komponenten er tilføjet af et bureau eller en tidligere udvikler, bør tjekke, om den stadig ligger på serveren, også selvom den ikke bruges aktivt længere.

En angriber kan uden at logge ind hente data direkte fra databasen, herunder kundeoplysninger, adgangskoder til administratorkonti og databasekonfiguration. Med disse oplysninger kan angriberen ofte gå videre og overtage administratoradgang til hele Joomla-sitet. For en dansk virksomhed betyder det risiko for læk af persondata, hvilket udløser pligt til at vurdere anmeldelse til Datatilsynet, samt risiko for at hele webshoppen bliver kompromitteret og misbrugt til svindel eller spredning af skadelig kode.

CVSS-scoren er 8,2 ud af 10, hvilket klassificeres som alvorlig. Angrebet kræver ikke login og ingen handling fra en almindelig bruger, og det kan udføres over internettet uden særlig teknisk kompleksitet. Konsekvensen er alvorlig for fortrolighed, da angriberen kan læse følsomme data i databasen, mens der ikke er direkte risiko for at ændre data eller lukke sitet ned. Der er offentliggjort teknisk detaljeret beskrivelse af, hvordan angrebet udføres, hvilket gør det sandsynligt, at der findes eller hurtigt vil opstå færdige angrebsscripts.

Da udvidelsen er gammel og der ikke er dokumenteret en officiel opdatering, er den mest effektive løsning at fjerne eller deaktivere komponenten.

1. Undersøg om Price Alert-udvidelsen er installeret på jeres Joomla-site, og deaktivér eller afinstallér den, indtil en rettet version findes.
2. Tjek jeres webserverlogfiler for forespørgsler mod subscribeajax med mistænkelige tegn i product_id-parameteren, som kan indikere forsøg på udnyttelse.
3. Skift adgangskoder til databasen og til Joomla-administratorkonti, hvis I finder tegn på misbrug.
4. Sæt en webapplikationsfirewall foran sitet, hvis komponenten ikke kan fjernes med det samme, og bloker mistænkelige forespørgsler mod subscribeajax.
5. Vurdér om hændelsen skal anmeldes til Datatilsynet, hvis der er tegn på, at persondata er blevet udtrukket.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om komponenten er i brug, eller hvis I finder spor af indbrud i loggene.