CVE-2017-20263: SQL-fejl i Joomla FocalPoint 1.2.3

CVE-2017-20263 er en sårbarhed i Joomla-komponenten FocalPoint Pro og Free, version 1.2.3. Fejlen er SQL-indsprøjtning: en teknik hvor en angriber sender egne databasekommandoer gennem et webfelt, så webserveren udfører dem, som var de en del af det almindelige søgesystem. Angrebet foretages ved at sende et GET-forespørgsel til index.php med option=com_focalpoint og view=location, hvor parameteren id er ændret til at indeholde SQL-kode. Angriberen behøver ikke være logget ind og skal ikke narre nogen bruger til at klikke på noget.

Sårbarheden rammer virksomheder og organisationer, der har en Joomla-hjemmeside med udvidelsen FocalPoint Pro eller Free installeret i version 1.2.3. Udvidelsen bruges typisk til at vise butikslokationer eller kortoversigter på webstedet, for eksempel forretningskæder, foreninger eller kommuner med filialoversigter. Alle offentligt tilgængelige installationer af den nævnte version er i risiko, uanset om de bruges til test eller drift.

En angriber kan udnytte fejlen til at læse indhold fra virksomhedens database uden at logge ind. Det kan omfatte brugernavne, adgangskodehash, kundedata eller andre oplysninger, som ligger i samme database som Joomla-installationen. I praksis kan en dansk virksomhed opleve, at kundeoplysninger eller administrator-loginoplysninger lækkes og senere misbruges til at overtage hjemmesiden eller sende målrettede phishing-mails til kunder.

CVSS-score er 8,2 ud af 10, hvilket er alvorligt. Angrebet kræver ikke login, ingen brugerhandling og kan udføres over internettet med lav teknisk kompleksitet. Fortrolighed er ramt hårdt, da angriberen kan læse databasen, mens integritet kun er let påvirket, og tilgængelighed slet ikke. Der er ikke oplysninger om, at fejlen aktivt bliver udnyttet i angreb, men den tekniske beskrivelse af angrebsmetoden er offentligt tilgængelig, hvilket gør det let for andre at reproducere.

Følgende trin lukker hullet eller reducerer risikoen, mens I finder en permanent løsning.

1. Kontrollér om jeres Joomla-installation bruger komponenten FocalPoint Pro eller Free i version 1.2.3, og undersøg om udvikleren har udgivet en opdateret version uden fejlen.
2. Er der ingen opdatering tilgængelig, deaktivér eller afinstallér komponenten fra Joomla-administrationen, indtil en sikker version findes.
3. Kan komponenten ikke fjernes med det samme, blokér adgang til stien index.php?option=com_focalpoint&view=location via en webapplikationsfirewall eller serverregel.
4. Gennemgå webserverens loglogfiler for usædvanlige forespørgsler med SQL-nøgleord i id-parameteren for at afklare, om fejlen allerede er udnyttet.
5. Skift adgangskoder til databasen og administratorkonti, hvis I finder tegn på at data er blevet hentet ud.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan afklare, om komponenten er i brug, eller hvis I finder tegn på misbrug i logfilerne.