CVE-2017-20261: SQL-indsprøjtning i Joomla Bargain Product VM3

CVE-2017-20261 er en sårbarhed i Joomla-tillægget Bargain Product VM3 version 1.0, som bruges sammen med webshop-modulet VirtueMart. Fejlen er SQL-indsprøjtning, hvor en angriber kan indsætte egne databasekommandoer i et almindeligt webkald. Parameteren product_id bliver ikke renset korrekt, når den sendes til visningerne brainy og alice, så en angriber kan sende en manipuleret GET-forespørgsel og få webshoppens database til at udlevere data, den ikke burde.

Det rammer danske virksomheder, der driver en webshop i Joomla med VirtueMart og har installeret tillægget Bargain Product VM3 i version 1.0. Typisk er det mindre webshops, der har fået komponenten sat op af et webbureau for flere år siden, og hvor ingen længere holder øje med, om tillægget stadig er i brug.

En angriber kan uden at logge ind læse indhold fra databasen bag webshoppen, for eksempel kundeoplysninger, ordredata eller adgangskodehash. Angrebet kan ikke ændre data eller lægge shoppen ned, men det kan afsløre personoplysninger, hvilket i sig selv kan udløse en anmeldelsespligtig sikkerhedsbrist efter databeskyttelsesreglerne.

CVSS-score er 8,2 ud af 10, hvilket er alvorligt. Angrebet kræver ikke login, ingen handling fra en bruger, og kan udføres over internettet mod webserveren direkte. Det gør det billigt for en angriber at afsøge og udnytte. Der er ikke oplysninger om, at sårbarheden er udnyttet i konkrete angreb, men detaljerne om de sårbare parametre og views er offentligt beskrevet, så en angriber kan bygge et angreb uden meget forarbejde.

Gennemgå jeres Joomla-installation, og prioriter i denne rækkefølge:

1. Find ud af, om Bargain Product VM3 er installeret, og fjern eller deaktiver komponenten, hvis I ikke aktivt bruger den.
2. Kan I ikke fjerne den, så blokér adgang til views’ene brainy og alice på webserverniveau eller via en webapplikationsfirewall.
3. Gennemgå webserverlogs for GET-forespørgsler med usædvanlige tegn i product_id, som kan være tegn på tidligere udnyttelse.
4. Skift adgangskoder til databasen og relevante brugerkonti, hvis logs viser tegn på misbrug.
5. Vurder, om personoplysninger kan være kompromitteret, og involver jeres databeskyttelsesansvarlige.
6. Er I i tvivl om, hvordan komponenten hænger sammen med resten af jeres Joomla-opsætning, så få hjælp fra en udvikler eller sikkerhedsrådgiver til at fjerne den sikkert.