CVE-2017-20267: SQL-injektion i Joomla Calendar Planner

CVE-2017-20267 er en SQL-injektion i Joomla-komponenten Calendar Planner version 1.0.1. SQL-injektion betyder, at en angriber kan indsætte egne databasekommandoer i et websted i stedet for den forventede tekst. Fejlen sidder i parameteren category_id, som bruges, når man kalder kalenderens events-visning. En angriber kan sende et almindeligt GET-kald med skadelig SQL-kode i denne parameter og få webstedets database til at udlevere oplysninger, den ikke skulle udlevere. Der kræves ikke login eller nogen handling fra en bruger, kun adgang til webstedets kalenderside.

Det rammer virksomheder, foreninger og kommuner, der kører Joomla med tredjepartskomponenten Calendar Planner i version 1.0.1 til at vise events eller mødekalendere på deres websted. Komponenten bruges typisk til begivenhedskalendere på foreningssider, kommunale hjemmesider og virksomheders eventsider.

En angriber kan trække data ud af databasen, for eksempel brugernavne, adgangskoder i krypteret form, kundeoplysninger eller andre data, som Joomla-installationen gemmer. For en dansk virksomhed kan det betyde, at persondata om medarbejdere, kunder eller borgere lækkes, hvilket kan udløse en anmeldelsespligtig databrud efter GDPR. Fejlen giver ikke mulighed for at ændre data eller lægge webstedet ned, men adgangen til at læse data er alvorlig nok i sig selv.

CVSS-scoren er 8,2 ud af 10, hvilket er alvorligt. Angrebet sker over internettet, kræver ingen brugerinteraktion og ingen login. Kompleksiteten er lav, så det kan udføres med simple, offentligt kendte teknikker. Konsekvensen er høj fortrolighed, altså at data kan læses, mens data ikke kan ændres eller slettes, og webstedet forbliver tilgængeligt.

Vi anbefaler følgende trin i denne rækkefølge:

1. Fjern eller deaktivér Calendar Planner-komponenten i jeres Joomla-installation, da der ikke findes en officiel opdatering, der lukker hullet.
2. Skift til en aktivt vedligeholdt kalenderkomponent til Joomla, hvis I stadig har brug for funktionen.
3. Gennemgå webserverens logfiler for usædvanlige forespørgsler til events-visningen med mistænkelige tegn i category_id, som kan indikere tidligere udnyttelse.
4. Vurder, om der er sket læk af persondata, og afklar om det udløser anmeldelsespligt til Datatilsynet.
5. Opsæt en webapplikationsfirewall eller filtreringsregler, der blokerer typiske SQL-injektionsmønstre, som en ekstra beskyttelse fremadrettet.
6. Kontakt Auroa eller en anden it-sikkerhedsrådgiver, hvis I er i tvivl om, hvorvidt komponenten er i brug, eller om data allerede er kompromitteret.