CVE-2017-20266: SQL-fejl i Joomla SP Movie Database

CVE-2017-20266 er en sårbarhed i Joomla-udvidelsen SP Movie Database version 1.3. Fejlen er en SQL-indsprøjtning, en teknik hvor en angriber sender databasekommandoer gennem et almindeligt inputfelt, så systemet udfører kommandoerne i stedet for at søge normalt. Her sker det gennem parameteren searchword, som bruges når en besøgende søger i filmdatabasen via siden searchresults. Ved at sende et GET-kald med et særligt udformet søgeord kan en angriber få webserveren til at afsløre indhold fra den underliggende database, uden at have en brugerkonto på siden.

Det rammer danske virksomheder, foreninger og institutioner, der driver en hjemmeside i Joomla og har installeret udvidelsen SP Movie Database i version 1.3. Det kan for eksempel være biografer, filmklubber, udlejningsvirksomheder eller kulturinstitutioner, der bruger udvidelsen til at vise en filmoversigt med søgefunktion. Alle installationer med denne version og aktiv søgefunktion er i udgangspunktet berørt.

En angriber kan trække oplysninger direkte ud af hjemmesidens database uden at logge ind. Det kan omfatte brugernavne, adgangskode-hash for administratorer og redaktører, samt eventuelle kundedata eller andre følsomme oplysninger, der er gemt i samme database. Data kan bruges til at overtage administratorkonti, foretage identitetstyveri eller sælges videre. Da angrebet ikke kræver login eller klik fra en bruger, kan det udføres automatisk og i stort omfang.

CVSS-score er 8,2 ud af 10, hvilket er alvorligt. Angrebet kræver ikke login og ingen handling fra en bruger, kun at hjemmesiden er tilgængelig fra internettet. Kompleksiteten er lav, hvilket betyder, at angrebet er let at gennemføre for en angriber med kendskab til SQL-indsprøjtning. Konsekvensen er høj for fortrolighed, altså risiko for at data læses af uvedkommende, mens der ikke er risiko for, at data ændres eller at siden går ned. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb, men den tekniske fremgangsmåde er offentligt kendt, hvilket gør det realistisk, at automatiserede scanninger allerede leder efter sårbare installationer.

Følgende trin lukker hullet og begrænser skaden, hvis det allerede er udnyttet:

1. Undersøg om jeres Joomla-side bruger udvidelsen SP Movie Database, og kontrollér versionsnummeret i administrationspanelet.
2. Opdatér udvidelsen til en nyere version, hvis udvikleren har udgivet en rettelse. Er der ingen rettelse tilgængelig, skal udvidelsen deaktiveres eller fjernes fra hjemmesiden.
3. Gennemgå webserverens logfiler for forespørgsler mod searchresults med usædvanlige tegn som anførselstegn, UNION eller SELECT i searchword-parameteren.
4. Skift adgangskoder for administratorkonti og for den databruger, som Joomla anvender.
5. Overvej at sætte en webapplikationsfirewall foran siden, som kan blokere SQL-indsprøjtningsforsøg, indtil udvidelsen er fjernet eller opdateret.
6. Hvis I ikke selv kan afgøre, om siden er ramt, eller om der er tegn på dataudtræk, bør I hente hjælp fra en sikkerhedsleverandør til at gennemgå logs og database.