CVE-2017-20265: SQL-sårbarhed i Joomla Flip Wall 8.0
Sårbarhed i Joomla-komponenten Flip Wall 8.0 lader angribere hente data fra databasen via et link. Fjern eller opdatér komponenten.
Hvad er det?
CVE-2017-20265 er en sårbarhed i Flip Wall, en tredjeparts-komponent til indholdssystemet Joomla. Fejlen er en SQL-indsprøjtning, det vil sige en teknik hvor en angriber indsætter skadelig databasekode i et almindeligt webadressefelt for at få adgang til oplysninger, den ikke må se. Sårbarheden ligger i parameteren wallid, som bruges når en besøgende klikker på en side, der viser Flip Wall. Ved at sende et link med skadelig kode i denne parameter kan angriberen få webserveren til at udføre egne databasekommandoer og trække oplysninger ud af databasen.
Hvem rammer det?
Det rammer virksomheder og foreninger, der driver en Joomla-hjemmeside med komponenten Flip Wall version 8.0 installeret. Flip Wall bruges typisk til at vise en digital opslagsvæg eller kommentarvæg på siden. Er komponenten ikke installeret, er I ikke ramt af denne konkrete sårbarhed.
Hvad kan ske?
En angriber kan hente oplysninger fra jeres database, for eksempel brugernavne, krypterede adgangskoder eller andre data, der ligger i samme database som Flip Wall. Angriberen kan ikke ændre eller slette data med denne sårbarhed, og siden kan ikke bringes ned, men fortrolige oplysninger kan lækkes og bruges til videre angreb, for eksempel forsøg på login med stjålne oplysninger.
Hvor alvorligt er det?
CVSS-scoren er 7,1 ud af 10, hvilket er alvorligt. Angriberen skal ikke være logget ind, men skal have en besøgende eller administrator til at klikke på et forberedt link, før angrebet udføres. Det gør angrebet lidt sværere at udføre end en fuldautomatisk sårbarhed, men stadig realistisk via et link sendt i en e-mail eller på sociale medier. Der er ikke oplysninger om, at sårbarheden er udnyttet i konkrete angreb.
Hvad gør jeg nu?
Tjek om jeres Joomla-side bruger komponenten Flip Wall, og gør følgende:
- Undersøg om Flip Wall version 8.0 er installeret på jeres Joomla-side, og opdatér til en nyere version, hvis en sådan findes.
- Findes der ingen opdateret version, så deaktivér eller afinstallér komponenten helt, indtil den er rettet.
- Gennemgå databaselogfiler for usædvanlige forespørgsler med parameteren wallid, som kan tyde på tidligere udnyttelse.
- Skift adgangskoder for administratorbrugere på siden, hvis I ikke kan udelukke, at data allerede er lækket.
- Begræns adgang til Joomla-administrationen med IP-begrænsning eller ekstra login-lag som en generel sikring.
- Er I i tvivl om, hvilke komponenter jeres side bruger, eller om der allerede er sket lækage, bør I få en ekstern gennemgang af sikkerheden.
Fjern eller opdatér komponenten inden en uge
Vi anbefaler, at I straks tjekker, om jeres Joomla-side bruger Flip Wall, og fjerner eller opdaterer komponenten, hvis den findes. Er komponenten ikke i brug, er der ingen grund til at handle på denne konkrete sårbarhed. Er den i brug, og der ikke findes en opdateret version, bør I ikke vente, da fjernelse af komponenten er en simpel og effektiv løsning.
Tidslinje
Konkrete eksempler
Forældreforening med Joomla-hjemmeside
En dansk forældreforening driver en hjemmeside i Joomla med Flip Wall installeret til at vise nyheder fra medlemmerne. En angriber sender et link til foreningens administrator via e-mail, forklædt som en interessant nyhed. Når administratoren klikker på linket, sendes en forespørgsel til siden med skadelig kode i wallid-parameteren, og angriberen får adgang til medlemslistens brugernavne og krypterede adgangskoder.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger Flip Wall?
Log ind i Joomla-administrationen og se under komponenter eller udvidelser. Står Flip Wall på listen med version 8.0, er I ramt. I kan også søge efter teksten com_flipwall i jeres filer eller database.
Kan vi vente med at rette det til en planlagt opdatering senere?
Det kan I, hvis komponenten ikke bruges aktivt, men vi anbefaler alligevel at fjerne den nu, da fjernelse tager få minutter og lukker hullet helt.
Kræver angrebet, at nogen logger ind?
Nej, angriberen skal ikke logges ind, men skal have en besøgende eller administrator til at klikke på et link med skadelig kode i webadressen.
Kan angriberen slette eller ændre vores data?
Nej, sårbarheden giver kun mulighed for at læse data fra databasen, ikke at ændre eller slette dem.
Skal vi anmelde dette til Datatilsynet?
Kun hvis I finder konkrete tegn på, at persondata er blevet hentet ud af databasen. Uden tegn på lækage er der ikke anmeldelsespligt, men vi anbefaler at gennemgå logfiler for at være sikre.
Er der en officiel opdatering fra udvikleren?
Der er ingen offentlig information om en rettelse fra udvikleren af Flip Wall. Findes der ikke en nyere version, er fjernelse af komponenten den sikre løsning.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Joomla! Component Flip Wall 8.0 contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through the wallid parameter. Attackers can send GET requests to index.php with the option=com_flipwall&task=click&wallid parameter containing SQL injection payloads to extract sensitive database information.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.