CVE-2017-20270: SQL-indsprøjtning i Joomla-komponent Twitch Tv

CVE-2017-20270 er en SQL-indsprøjtning, en teknik hvor angriberen skjuler databasekommandoer i almindelige webadresser for at få systemet til at udføre dem. Fejlen findes i tredjeparts-komponenten Twitch Tv version 1.1 til Joomla!, som viser Twitch-streams på hjemmesider. Angriberen sender et almindeligt GET-kald til index.php med parametrene option=com_twitchtv samt username og id, hvor id-værdien indeholder skadelig SQL-kode. Joomla-siden sender koden videre til databasen uden at rense den, og databasen udfører kommandoen som en del af det almindelige forespørgsel. Der kræves ingen login eller handling fra en bruger, kun at komponenten er installeret og tilgængelig fra internettet.

Det rammer virksomheder, foreninger og andre organisationer, der driver en hjemmeside i Joomla! og har installeret den tredjeparts-udvidelse, der hedder Twitch Tv, i version 1.1. Komponenten bruges typisk til at vise live Twitch-streams på siden, for eksempel hos gamingforeninger, e-sportsklubber eller virksomheder med indhold om streaming. Da det er en niche-udvidelse, er antallet af ramte danske sider begrænset, men de sider, der har den, er sårbare uanset størrelse.

En angriber kan trække data direkte ud af jeres database, herunder brugernavne, adgangskodehashes og konfigurationsoplysninger som databaseforbindelser. Med de oplysninger kan angriberen ofte komme videre til administratoradgang på hjemmesiden og derfra ændre indhold, installere skadelig kode eller bruge siden til at sende falske e-mails i jeres navn. For en forening eller mindre virksomhed betyder det typisk tabt tillid hos medlemmer eller kunder og tid brugt på at rydde op.

CVSS-scoren er 8,2 af 10, hvilket er alvorligt. Angrebet foregår over netværk, kræver ingen login og ingen handling fra en bruger på siden, hvilket gør det nemt at automatisere. Konsekvensen er høj for fortrolighed, fordi angriberen kan læse hele databasen, mens integritet kun rammes let og tilgængelighed slet ikke. Der er ikke rapporteret aktiv udnyttelse i den kendte periode, men angrebsmetoden er beskrevet så detaljeret offentligt, at den kan bruges direkte af enhver med adgang til beskrivelsen.

Der findes ingen opdateret version af Twitch Tv, så løsningen er at fjerne komponenten, ikke at opdatere den.

1. Deaktivér og afinstallér komponenten com_twitchtv i jeres Joomla-administration, så den ikke længere kan kaldes.
2. Gennemgå webserver-logfiler for kald til index.php med option=com_twitchtv og se om der er forsøg med usædvanlige tegn i username eller id.
3. Skift adgangskoder for alle administratorkonti i Joomla samt databasebrugeren, hvis I finder tegn på misbrug.
4. Sæt en regel op i jeres webapplikationsfirewall, der blokerer typiske SQL-indsprøjtningsmønstre, hvis I ikke kan fjerne komponenten øjeblikkeligt.
5. Tag en sikkerhedskopi af databasen og gennemgå den for uautoriserede ændringer.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan afklare, om komponenten er i brug på jeres side, eller om der allerede er sket misbrug.