CVE-2017-20272: SQL-injektion i Joomla Ultimate Property Listing
Ukendte angribere kan stjæle data fra jeres Joomla-database uden login via sårbar udvidelse. Fjern eller opdatér Ultimate Property Listing 1.0.2 straks.
Hvad er det?
CVE-2017-20272 er en SQL-indsprøjtning, en teknik hvor en angriber sender ondsindet kode gennem et inputfelt for at få databasen til at udføre uautoriserede kommandoer. Sårbarheden findes i Joomla-udvidelsen Ultimate Property Listing version 1.0.2. Fejlen sidder i parameteren sf_selectuser_id, som ikke renser data ordentligt, før den bruges i en databaseforespørgsel. Ved at sende et forberedt GET-kald til index.php med parametrene option=com_upl og view=propertylisting kan en angriber trække oplysninger ud af databasen, herunder tabelnavne og kolonnestruktur.
Hvem rammer det?
Det rammer danske virksomheder og foreninger, der driver en Joomla-hjemmeside med udvidelsen Ultimate Property Listing i version 1.0.2. Udvidelsen bruges typisk til boligsider, ejendomsmæglere og udlejningsportaler, hvor besøgende kan søge i ejendomslister. Er udvidelsen installeret, er hjemmesiden sårbar uanset hvem der besøger den, da angrebet ikke kræver login.
Hvad kan ske?
En angriber kan uden at logge ind læse indhold fra jeres database, for eksempel brugernavne, adgangskode-hashes, kundeoplysninger eller andre data, der ligger i samme database som Joomla-siden. Det kan føre til identitetstyveri, misbrug af kundedata eller at angriberen bruger de udtrukne oplysninger til at bryde ind i andre systemer, hvis adgangskoder genbruges. For en dansk ejendomsvirksomhed kan det betyde brud på databeskyttelsesreglerne, hvis persondata om kunder eller lejere lækkes.
Hvor alvorligt er det?
Sårbarheden har en CVSS-score på 8,2 ud af 10 og er vurderet alvorlig. Angrebet kræver ikke login, ingen handling fra en bruger og kan udføres over internettet med lav kompleksitet. Det gør sårbarheden nem at udnytte for en angriber med almindelig teknisk viden. Konsekvensen er høj for fortrolighed, altså risiko for datalæk, mens der ikke er risiko for at angriberen kan slette data eller lukke siden ned via denne specifikke fejl.
Hvad gør jeg nu?
Handl i denne rækkefølge, hvis I bruger Joomla med udvidelsen Ultimate Property Listing:
- Deaktivér eller afinstallér udvidelsen Ultimate Property Listing, indtil der findes en opdateret version uden sårbarheden.
- Tjek jeres webserverlogfiler for kald til index.php med option=com_upl og view=propertylisting for at se, om siden allerede er blevet forsøgt udnyttet.
- Skift adgangskoder for administratorkonti og databasebrugere som forholdsregel, hvis I finder mistænkelige forespørgsler i loggen.
- Sæt en webapplikationsfirewall foran siden, hvis udvidelsen skal blive aktiv, indtil den kan fjernes eller opdateres.
- Gennemgå om andre Joomla-udvidelser på samme side er forældede, da forældede udvidelser ofte har lignende fejl.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv har ressourcer til at gennemgå logfiler eller fjerne udvidelsen korrekt.
Fjern udvidelsen inden for få dage
Vi anbefaler, at I fjerner eller deaktiverer Ultimate Property Listing med det samme, da der ikke findes en officiel rettelse for version 1.0.2. Det er kun forsvarligt at vente, hvis udvidelsen allerede er afinstalleret eller aldrig har været i brug på jeres side. Er I i tvivl om, hvorvidt udvidelsen er installeret eller aktiv, bør I få en teknisk gennemgang af jeres Joomla-installation.
Tidslinje
Konkrete eksempler
Ejendomsmægler med Joomla-side
En dansk ejendomsmægler bruger Joomla med udvidelsen Ultimate Property Listing til at vise boliger til salg. En ukendt person sender specialkonstruerede forespørgsler til hjemmesiden og trækker kundeoplysninger ud af databasen uden at logge ind. Mægleren opdager først problemet, da kunder henvender sig om mistænkelige mails, der indeholder oplysninger fra bookingsystemet.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den sårbare udvidelse?
Log ind i Joomla-administrationen og gå til udvidelseslisten. Søg efter Ultimate Property Listing og tjek versionsnummeret. Er det version 1.0.2 eller ældre, er I sårbare.
Kan vi vente med at reagere til weekenden eller til næste opdatering?
Nej. Da der ikke er nogen officiel opdatering endnu, og angrebet kan udføres uden login, bør I fjerne eller blokere udvidelsen straks fremfor at vente på en rettelse.
Hvordan tjekker vi, om vi allerede er blevet ramt?
Gennemgå webserverens logfiler for forespørgsler til index.php med option=com_upl og view=propertylisting, især med usædvanlige tegn i parameteren sf_selectuser_id. Gentagne eller mistænkelige kald tyder på forsøg på udnyttelse.
Skal vi anmelde det til Datatilsynet, hvis vi finder spor af angreb?
Ja, hvis logfilerne viser, at persondata sandsynligvis er blevet udtrukket, skal I vurdere anmeldepligten efter databeskyttelsesreglerne og orientere jeres databeskyttelsesrådgiver eller Datatilsynet inden for 72 timer efter opdagelsen.
Findes der en opdateret version af udvidelsen?
Der er ikke oplyst nogen officiel rettelse for Ultimate Property Listing 1.0.2. Kontakt udvikleren for at høre, om der findes en nyere version, og overvej i mellemtiden at finde en alternativ udvidelse.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Joomla Ultimate Property Listing 1.0.2 contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through the sf_selectuser_id parameter. Attackers can send GET requests to index.php with the option=com_upl and view=propertylisting parameters to extract sensitive database information including table names and column structures.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.