CVE-2017-20264: SQL-injection i Joomla Sponsor Wall 8.0
SQL-injection i Joomla-udvidelsen Sponsor Wall 8.0 kan afsløre databaseoplysninger. Fjern eller opdatér udvidelsen.
Hvad er det?
CVE-2017-20264 er en SQL-injection sårbarhed i Sponsor Wall, en tredjepartsudvidelse (component) til CMS-systemet Joomla, der viser sponsorlogoer på et websted. SQL-injection betyder, at en angriber kan indsætte egne databasekommandoer i et felt, som webstedet normalt bruger til almindelige forespørgsler. Fejlen sidder i parameteren wallid, som bruges, når en besøgende klikker på et sponsorlogo. Ved at sende et link med et manipuleret wallid-parameter kan en angriber få webstedets database til at udlevere data, den ikke skulle udlevere, herunder loginoplysninger og konfigurationsdata.
Hvem rammer det?
Det rammer virksomheder, foreninger og kommuner, der driver et Joomla-websted med udvidelsen Sponsor Wall version 8.0 installeret. Udvidelsen bruges typisk af sportsklubber, foreninger og mindre virksomheder til at vise sponsorer på forsiden. Er Sponsor Wall ikke installeret, er webstedet ikke ramt af denne konkrete sårbarhed.
Hvad kan ske?
En angriber kan sende en besøgende eller en administrator et link, hvor wallid-parameteren indeholder skadelig kode. Klikker den pågældende på linket, sender deres browser en forespørgsel til webstedets database, som lækker data tilbage til angriberen. I praksis kan det være brugernavne, adgangskoder eller opsætningsoplysninger for databasen, som derefter kan bruges til at få fuld adgang til webstedet eller til at genbruge adgangskoder andre steder.
Hvor alvorligt er det?
CVSS-score er 7,1 ud af 10, hvilket er alvorligt. Angriberen skal ikke være logget ind og behøver ingen rettigheder på systemet, men sårbarheden kræver, at en person klikker på et link, angriberen har fremstillet. Konsekvensen er høj risiko for datalæk fra databasen, mens der ikke er risiko for, at angriberen kan ændre data eller lægge webstedet ned. Der er ingen oplysninger om, at sårbarheden aktivt udnyttes.
Hvad gør jeg nu?
Tjek om jeres Joomla-websted bruger Sponsor Wall, og handl derefter.
- Undersøg om udvidelsen Sponsor Wall er installeret, og i givet fald hvilken version. Findes den i version 8.0, er webstedet sårbart.
- Deaktivér eller afinstallér udvidelsen, hvis den ikke er nødvendig for driften.
- Kontakt udvikleren af Sponsor Wall for at se, om der findes en opdateret version, der lukker sårbarheden, og installér den, hvis det er muligt.
- Kan udvidelsen ikke fjernes eller opdateres, så blokér adgang til den via en webapplikationsfirewall eller regler i jeres webserver, der filtrerer wallid-parameteren.
- Gennemgå webserverens logfiler for usædvanlige forespørgsler til index.php med option=com_sponsorwall for at afklare, om sårbarheden allerede er udnyttet.
- Er I i tvivl om, hvordan I finder eller fjerner udvidelsen, eller om jeres database allerede er kompromitteret, bør I få en it-sikkerhedsrådgiver til at gennemgå webstedet.
Fjern eller opdatér inden en uge
Vi anbefaler, at I fjerner udvidelsen Sponsor Wall, hvis I ikke aktivt bruger den, da der ikke er offentliggjort en opdateret version, der retter fejlen. Er udvidelsen nødvendig for jeres drift, bør I i stedet afskærme den med en webapplikationsfirewall og overvåge logfilerne, mens I finder en langsigtet løsning. Det er ok at vente et par dage med at handle, hvis I i mellemtiden begrænser adgangen til komponenten, men webstedet bør ikke stå åbent med sårbarheden i mere end en uge.
Tidslinje
Konkrete eksempler
Sportsklub med sponsorliste på Joomla-websted
En dansk sportsklub bruger Joomla med udvidelsen Sponsor Wall til at vise sponsorernes logoer på forsiden. En angriber sender klubbens webansvarlige en mail med et link, der ser ud som en almindelig sponsoroversigt, men indeholder et manipuleret wallid-parameter. Klikker medarbejderen på linket, sendes en forespørgsel til klubbens database, og angriberen får adgang til brugernavne og adgangskoder, som senere kan bruges til at overtage hele webstedet.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger Sponsor Wall?
Log ind i Joomla-administrationen, og tjek listen over installerede udvidelser under komponenter. Står Sponsor Wall der, og er versionen 8.0, er webstedet sårbart.
Er vi ramt, hvis vi bruger en anden version af Sponsor Wall?
Sårbarheden er bekræftet i version 8.0. Er der senere versioner, bør I undersøge, om fejlen er rettet der, men gå ikke ud fra, at nyere versioner automatisk er sikre uden bekræftelse fra udvikleren.
Kan vi vente til efter weekenden med at handle?
Ja, hvis I i mellemtiden deaktiverer udvidelsen eller blokerer adgang til den via en webapplikationsfirewall. Står webstedet åbent uden beskyttelse, bør I handle før weekenden.
Skal vi anmelde det til Datatilsynet?
Kun hvis I finder tegn på, at persondata faktisk er blevet udlæst fra databasen. Gennemgå jeres logfiler for at afklare, om der har været forsøg på udnyttelse, før I tager stilling til en anmeldelse.
Kræver angrebet, at en medarbejder klikker på noget?
Ja, sårbarheden udløses, når en bruger klikker på et link med et manipuleret wallid-parameter. Angriberen kan ikke udnytte fejlen uden, at nogen interagerer med et sådant link.
Er kerneinstallationen af Joomla også sårbar?
Nej, fejlen sidder i tredjepartsudvidelsen Sponsor Wall og ikke i selve Joomla-systemet. Er udvidelsen ikke installeret, er kerneinstallationen ikke ramt af denne sårbarhed.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Joomla! Component Sponsor Wall 8.0 contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through the wallid parameter. Attackers can send GET requests to index.php with the option=com_sponsorwall&task=click&wallid parameter containing SQL injection payloads to extract sensitive database information including credentials and configuration data.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.