CVE-2017-20268: SQL-injektion i Zap Calendar Lite
SQL-injektion i Joomla-komponenten Zap Calendar Lite 4.3.4 lader uautoriserede hente data fra databasen. Deaktivér komponenten eller blokér adgangen nu.
Hvad er det?
CVE-2017-20268 er en sårbarhed i Zap Calendar Lite, en gratis kalender- og tilmeldingskomponent til Joomla-hjemmesider. Fejlen er en SQL-injektion, hvor angriberen sender skadelig SQL-kode i stedet for et almindeligt tal i parameteren ‘eid’ på RSVP-modulets endpoint (det webadresse-punkt, som modtager tilmeldinger). Joomla-siden fortolker den skadelige kode og udfører den direkte mod databasen. Angriberen kan dermed læse indhold, som ikke er beregnet til offentligheden, for eksempel tabelnavne og databaseindhold, uden at være logget ind.
Hvem rammer det?
Det rammer alle Joomla-hjemmesider, der kører Zap Calendar Lite version 4.3.4. Det er typisk foreninger, kulturhuse, mindre virksomheder og kommunale institutioner, som bruger komponenten til at vise arrangementskalendere med tilmelding. Er komponenten installeret og tilgængelig fra internettet, er sitet sårbart, uanset om kalenderen bruges aktivt.
Hvad kan ske?
En angriber kan uden login sende forespørgsler mod jeres hjemmeside og trække data ud af databasen, for eksempel brugernavne, adgangskodehash og personoplysninger fra tilmeldingslister. Angrebet giver ikke mulighed for at ændre eller slette data, og det lukker ikke sitet ned, men et databrud med persondata kan udløse anmeldelsespligt til Datatilsynet og skade jeres omdømme over for medlemmer eller borgere.
Hvor alvorligt er det?
CVSS-score er 8,2 ud af 10, alvorlig. Angrebet kræver ingen login, ingen handling fra en bruger og kan udføres over internettet med lav teknisk kompleksitet. Det gør sårbarheden nem at udnytte automatisk. Konsekvensen er høj risiko for tab af fortrolige data, mens der ikke er risiko for at data ændres eller at sitet går ned. Der er ikke rapporteret om udnyttelse i praksis, men detaljerne er offentligt beskrevet, hvilket gør det sandsynligt, at der findes færdige angrebsværktøjer.
Hvad gør jeg nu?
Følg punkterne i denne rækkefølge for at lukke hullet og begrænse skaden:
- Deaktivér eller afinstallér Zap Calendar Lite-komponenten på jeres Joomla-site, indtil en rettet version findes.
- Kan komponenten ikke undværes, blokér adgang til RSVP-endpointet via webserverens konfiguration eller en firewall foran sitet.
- Undersøg hos udvikleren eller i Joomla-fællesskabet om der er kommet en nyere, rettet version af komponenten.
- Gennemgå webserverens logfiler for forespørgsler mod parameteren ‘eid’ med usædvanligt indhold, som kan afsløre om I allerede er blevet ramt.
- Skift adgangskoder for administratorer og andre konti, hvis loggen viser tegn på databaseadgang.
- Få en sikkerhedsrådgiver til at gennemgå jeres Joomla-installation, hvis I ikke selv kan vurdere om komponenten er i brug eller om data er blevet trukket ud.
Luk hullet inden for 48 timer
Vi anbefaler at deaktivere Zap Calendar Lite med det samme, da der ikke findes en officiel rettelse, og angrebet kan udføres uden login. Det er kun forsvarligt at vente, hvis komponenten allerede er blokeret for adgang udefra eller slet ikke er installeret på jeres site. Er I i tvivl om jeres Joomla-installation bruger komponenten, bør I få det afklaret, inden I beslutter at vente.
Tidslinje
Konkrete eksempler
Foreningskalender med tilmeldinger
En dansk idrætsforening bruger en Joomla-hjemmeside med Zap Calendar Lite til at vise arrangementer og modtage tilmeldinger via RSVP. En angriber finder tilmeldingssiden, indsætter skadelig SQL-kode i ‘eid’-parameteren i webadressen og henter medlemmernes navne og e-mailadresser direkte fra databasen, uden at have logget ind nogen steder.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres Joomla-hjemmeside har Zap Calendar Lite version 4.3.4 installeret. Tjek listen over komponenter i Joomla-administrationen for at se, om den er til stede.
Hvordan tjekker vi, om vores site bruger komponenten?
Log ind i Joomla-administrationen, gå til oversigten over komponenter og se efter Zap Calendar. Er den der, bør I også notere versionsnummeret.
Kan vi vente med at reagere til efter weekenden?
Vi anbefaler at reagere med det samme, fordi angrebet ikke kræver login og kan automatiseres. Jo længere komponenten er tilgængelig fra internettet, jo større er risikoen for datatab.
Findes der en officiel opdatering, der løser problemet?
Der er ikke oplyst en officiel rettet version pr. offentliggørelsesdatoen. Indtil videre er deaktivering eller blokering af endpointet den sikre løsning.
Skal vi anmelde hændelsen til Datatilsynet?
Kun hvis I finder tegn i logfilerne på, at persondata faktisk er blevet trukket ud. Er der ingen tegn på misbrug, er der ikke anmeldelsespligt, men vi anbefaler stadig at lukke hullet.
Er det nok at blokere 'eid'-parameteren i stedet for at slukke komponenten helt?
Det kan bruges som en midlertidig løsning, men vi anbefaler at deaktivere komponenten helt, da der kan være andre måder at udnytte fejlen på, som ikke er beskrevet endnu.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Joomla! Component Zap Calendar Lite 4.3.4 contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through the ‘eid’ parameter. Attackers can send GET requests to the RSVP plugin endpoint with crafted SQL payloads to extract sensitive database information including database names and table structures.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.