CVE-2017-20262: SQL-sårbarhed i Joomla Ajax Quiz 1.8

CVE-2017-20262 er en sårbarhed af typen SQL-indsprøjtning, hvor en angriber kan indsætte egen databasekode i et websted gennem et inputfelt, der ikke bliver renset ordentligt. Fejlen findes i Joomla-tredjepartskomponenten Ajax Quiz version 1.8, som bruges til at lave quizzer på Joomla-baserede hjemmesider. Parameteren cid i webadressen bliver sendt direkte videre til databasen uden kontrol. En angriber kan derfor sende et almindeligt GET-kald til index.php med option=com_ajaxquiz og view=ajaxquiz og få databasen til at afsløre tabelnavne, kolonner og andet indhold. Der kræves hverken login eller nogen handling fra en bruger.

Det rammer Joomla-installationer, der har komponenten Ajax Quiz version 1.8 installeret. Det er typisk mindre og mellemstore virksomheder samt foreninger og kommunale institutioner, som bruger Joomla som CMS og har tilføjet en quizfunktion via denne tredjepartskomponent. Standard-Joomla uden komponenten er ikke berørt.

En angriber kan trække data ud af databasen, herunder brugernavne, adgangskodehash og andre oplysninger, der ligger i samme database som quizmodulet. Det kan bruges til at logge ind som administrator, sende phishing-mails til kunder eller kortlægge systemet til et videre angreb. For en dansk virksomhed med kundedata på hjemmesiden betyder det risiko for datalæk, som kan udløse anmeldelsespligt efter databeskyttelsesreglerne.

CVSS-scoren er 8,2 ud af 10, hvilket er alvorligt. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over internettet med lav kompleksitet. Konsekvensen er høj for fortrolighed, da store mængder data kan hentes ud, mens integritet og tilgængelighed ikke påvirkes direkte. Der er ikke oplysninger om aktiv udnyttelse i naturen, men typen af fejl gør den enkel at afprøve, og offentliggjorte detaljer kan bruges som opskrift.

Følg trinene i rækkefølge for at lukke hullet og begrænse skaden.

1. Undersøg om jeres Joomla-installation har komponenten Ajax Quiz version 1.8 installeret, og fjern den, hvis den ikke er i brug.
2. Er komponenten nødvendig, så kontakt udvikleren eller find en opdateret version uden fejlen. Findes ingen opdatering, skal komponenten deaktiveres, indtil den er rettet.
3. Blokér adgang til stien index.php med option=com_ajaxquiz på webserver- eller firewall-niveau, hvis komponenten midlertidigt skal blive liggende.
4. Gennemgå webserverens logfiler for kald med option=com_ajaxquiz og view=ajaxquiz for at se, om nogen allerede har forsøgt at udnytte fejlen.
5. Skift adgangskoder til Joomla-administratorer og databasebrugere, hvis I finder tegn på misbrug.
6. Er I usikre på, om jeres opsætning er sårbar, eller hvordan I renser data efter et muligt angreb, så få hjælp fra en, der arbejder med Joomla-sikkerhed.