CVE-2017-20269: SQL-sårbarhed i Joomla KissGallery
SQL-indsprøjtning i Joomla-udvidelsen KissGallery 1.0.0 lader angribere uden login læse data fra databasen. Fjern komponenten nu.
Hvad er det?
CVE-2017-20269 er en sårbarhed i KissGallery, en tredjeparts-udvidelse til Joomla content management system, der bruges til at vise billedgallerier på hjemmesider. Fejlen er SQL-indsprøjtning, hvor angriberen indsætter egne databasekommandoer i en del af webadressen, som komponenten ikke tjekker ordentligt. Det betyder, at systemet kan blive narret til at udføre kommandoer, der aldrig var tiltænkt, og dermed udlevere data direkte fra databasen.
Hvem rammer det?
Sårbarheden rammer Joomla-hjemmesider, hvor komponenten KissGallery version 1.0.0 er installeret. Det er typisk mindre virksomheder, foreninger og kommunale institutioner, der bruger Joomla til hjemmesider med billedgallerier, og som har hentet komponenten fra et tredjeparts-galleri af Joomla-udvidelser.
Hvad kan ske?
En angriber kan uden at logge ind sende specielt udformede forespørgsler til hjemmesiden og få databasen til at udlevere følsomme oplysninger. Det kan være brugernavne, adgangskode-hashes til Joomla-administrationen, kundeoplysninger eller andet indhold, der ligger i den samme database som hjemmesiden. Data kan efterfølgende bruges til at overtage administrationen af hjemmesiden eller til identitetstyveri.
Hvor alvorligt er det?
CVSS-scoren er 8,2 ud af 10, hvilket er alvorligt. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over internettet med lav teknisk kompleksitet. Konsekvensen er høj for fortrolighed, fordi databaseindhold kan læses, men lav for integritet og ingen for tilgængelighed, da angrebet ikke i sig selv lukker hjemmesiden ned.
Hvad gør jeg nu?
Der findes ikke en officiel rettelse til KissGallery, så handlingen består i at fjerne risikoen frem for at opdatere.
- Fjern eller deaktiver KissGallery-komponenten i jeres Joomla-installation med det samme.
- Gennemgå webserverens logfiler for mistænkelige forespørgsler mod komponentens adressesti.
- Skift adgangskoder til Joomla-administratorer og til databasebrugeren.
- Sæt en webapplikationsfirewall foran hjemmesiden, hvis komponenten skal bevares midlertidigt.
- Erstat komponenten med en aktivt vedligeholdt galleriløsning til Joomla.
- Kontakt en it-sikkerhedsrådgiver, hvis I er i tvivl om komponenten er installeret, eller om data allerede er blevet læst.
Fjern komponenten inden for få dage
Vi anbefaler at fjerne KissGallery-komponenten fra jeres Joomla-hjemmeside, da der ikke findes en opdatering, der lukker hullet. Er komponenten nødvendig for driften, bør den isoleres bag en webapplikationsfirewall, mens I finder et alternativ. Det er ikke forsvarligt at vente, fordi angrebet kan udføres uden login og uden brugerinteraktion.
Tidslinje
Konkrete eksempler
Forening med Joomla-hjemmeside
En dansk idrætsforening har en Joomla-hjemmeside med et billedgalleri bygget på KissGallery. En angriber sender manipulerede forespørgsler til galleriets webadresse og får udleveret administratorens adgangskode-hash fra databasen. Adgangskoden knækkes efterfølgende, og angriberen overtager administrationen af hjemmesiden.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger KissGallery?
Tjek listen over installerede udvidelser i Joomla-administrationen under Extensions eller Komponenter. Står KissGallery på listen i version 1.0.0, er I berørt.
Kan vi vente til weekenden med at gøre noget?
Nej. Angrebet kræver hverken login eller handling fra en bruger, så det kan udføres når som helst. Fjern komponenten så snart det er praktisk muligt, gerne samme dag.
Findes der en opdateret version af KissGallery?
Der er ikke offentliggjort en officiel rettelse. Den sikreste løsning er at fjerne komponenten og eventuelt erstatte den med en anden, aktivt vedligeholdt galleriudvidelse.
Hvordan ved vi, om vi allerede er blevet ramt?
Gennemgå webserverens logfiler for usædvanlige forespørgsler mod komponentens webadresse, især dem med SQL-lignende tegn som citationstegn eller UNION SELECT. Er I i tvivl, bør I få en teknisk gennemgang foretaget.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Er persondata blevet udleveret, kan det udløse en anmeldelsespligt efter databeskyttelsesreglerne. Vurdér omfanget hurtigt og kontakt jeres databeskyttelsesrådgiver eller en ekstern rådgiver for at afklare, om Datatilsynet skal underrettes.
Kan vi bare skjule komponentens webadresse i stedet for at fjerne den?
Nej, det løser ikke problemet. Angriberen kan stadig finde og udnytte adressen. Den eneste holdbare løsning er at fjerne komponenten eller blokere adgangen med en webapplikationsfirewall.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Joomla! Component KissGallery 1.0.0 contains an SQL injection vulnerability that allows unauthenticated attackers to inject SQL commands through the component URL path. Attackers can supply malicious SQL code in the kissgallery endpoint to execute arbitrary database queries and extract sensitive information.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.