CVE-2017-20271: SQL-indsprøjtning i Joomla StreetGuessr
SQL-indsprøjtning i Joomla-udvidelsen StreetGuessr Game lader uautoriserede hente data fra jeres database. Fjern eller opdatér udvidelsen.
Hvad er det?
CVE-2017-20271 er en sårbarhed i Joomla-udvidelsen StreetGuessr Game version 1.1.8. Fejlen er en SQL-indsprøjtning, hvor en angriber kan indsætte egen databasekode i et webadressefelt kaldet catid. SQL-indsprøjtning betyder, at systemet ikke renser data fra brugeren, før det bruges i et databasekald, så angriberen kan stille sine egne spørgsmål til databasen. Her sker det gennem et almindeligt GET-kald til index.php med parametrene option=com_streetguess og view=maps. Angriberen behøver hverken login eller nogen handling fra en bruger på sitet.
Hvem rammer det?
Det rammer Joomla-hjemmesider, der har installeret udvidelsen StreetGuessr Game version 1.1.8. Udvidelsen bruges typisk til at bygge geografiske gættelege på Joomla-baserede websites. Er udvidelsen installeret og aktiv, er sitet sårbart uanset hvilken Joomla-kerneversion der i øvrigt køres.
Hvad kan ske?
En angriber kan hente følsomme oplysninger fra databasen, herunder databasens navn og versionsnummer, og potentielt uddrage yderligere data som brugertabeller, adgangskodehashes eller kundeoplysninger afhængigt af databasens struktur. For en dansk virksomhed med et Joomla-site kan det betyde læk af kundedata, konkurrenceoplysninger eller loginoplysninger, som kan bruges til videre angreb eller sælges videre.
Hvor alvorligt er det?
CVSS-scoren er 8,2 ud af 10, hvilket er alvorligt. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over internettet med lav teknisk kompleksitet. Konsekvensen er høj fortrolighedspåvirkning, det vil sige at angriberen kan læse data, den ikke må se, men angrebet kan ikke ændre data eller lægge sitet ned. Der er ikke oplysninger om aktiv udnyttelse i naturen, men teknikken er offentligt beskrevet, så den kan let genbruges af automatiserede scanneværktøjer.
Hvad gør jeg nu?
Følg disse trin for at lukke hullet og begrænse skaden:
- Fjern udvidelsen StreetGuessr Game fra jeres Joomla-installation, hvis den ikke er nødvendig, eller opdatér til en version, hvor sårbarheden er rettet, hvis en sådan findes.
- Undersøg jeres webserverlogs for kald til index.php med option=com_streetguess og view=maps for at afgøre, om sitet allerede har været forsøgt udnyttet.
- Skift adgangskoder for administratorkonti og databasebrugere, hvis I finder tegn på udnyttelse.
- Aktivér en webapplikationsfirewall foran Joomla-sitet, hvis I ikke allerede har en, som ekstra beskyttelseslag mod SQL-indsprøjtning.
- Gennemgå jeres øvrige Joomla-udvidelser for tilsvarende ukendte sårbarheder og hold dem løbende opdateret.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan fjerne udvidelsen uden at bryde sitets funktionalitet, eller hvis I finder tegn på databrud.
Fjern udvidelsen eller opdatér snarest muligt
Vi anbefaler, at I fjerner StreetGuessr Game-udvidelsen, hvis den ikke er forretningskritisk, da der ikke er belæg for en officiel rettelse. Er udvidelsen nødvendig, bør I isolere den bag en webapplikationsfirewall og overvåge trafik til de nævnte webadresser. Det er ikke ansvarligt at vente, da angrebet kan udføres uden login og med simple, offentligt kendte teknikker.
Tidslinje
Konkrete eksempler
Foreningshjemmeside med gættelegen
En dansk kommunal turistforening bruger Joomla med StreetGuessr Game til en digital skattejagt på sit website. En automatiseret scanner finder den sårbare catid-parameter og udtrækker databasenavne og senere brugertabeller med medarbejderes loginoplysninger. Foreningen opdager først problemet, da unormal trafik dukker op i logfilerne flere uger senere.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er kun ramt, hvis jeres Joomla-site har udvidelsen StreetGuessr Game version 1.1.8 installeret og aktiveret. Tjek jeres udvidelsesoversigt i Joomla-administrationen for at bekræfte det.
Hvordan tjekker vi, om vi allerede er blevet ramt?
Gennemgå webserverens adgangslogs for kald til index.php, der indeholder option=com_streetguess og view=maps, kombineret med usædvanlige tegn i catid-parameteren. Gentagne eller mistænkelige forespørgsler kan tyde på et forsøg.
Kan vi vente til weekenden med at rette det?
Det kan I, hvis I i mellemtiden fjerner adgangen til udvidelsen udefra eller blokerer de sårbare webadresser via en firewall. Uden en midlertidig løsning bør I handle så hurtigt som muligt, da angrebet er enkelt at udføre.
Skal vi anmelde hændelsen, hvis vi finder tegn på udnyttelse?
Hvis I finder beviser for, at persondata er blevet udtrukket, skal I vurdere anmeldelsespligt efter databeskyttelsesforordningen og eventuelt underrette Datatilsynet inden for 72 timer.
Findes der en officiel opdatering til StreetGuessr Game?
Der foreligger ingen oplysninger om en officiel rettelse fra udvikleren. Den sikreste løsning er derfor at fjerne udvidelsen eller erstatte den med et alternativ.
Påvirker det også selve Joomla-kernen?
Nej, sårbarheden ligger alene i tredjepartsudvidelsen StreetGuessr Game og ikke i Joomla-kernen selv.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Joomla StreetGuessr Game 1.1.8 contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through the catid parameter. Attackers can send GET requests to index.php with the option=com_streetguess&view=maps parameters and inject SQL code in the catid parameter to extract sensitive database information including version and database names.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.