CVE-2017-20273: SQL-injection i Joomla Event Registration Pro

CVE-2017-20273 er en SQL-injection-sårbarhed i tillægsmodulet Event Registration Pro Calendar version 4.1.3 til Joomla. SQL-injection betyder, at en angriber kan indsætte egne databasekommandoer i et felt, som webstedet ikke tjekker ordentligt. Her sker det gennem id-parameteren i et almindeligt GET-kald til index.php med option=com_registrationpro og view=category. Angriberen kan sende forespørgslen direkte i browseren eller med et script, uden at logge ind på webstedet først.

Sårbarheden rammer Joomla-websites, der har installeret tillægsmodulet Event Registration Pro Calendar i version 4.1.3. Det gælder typisk foreninger, kommuner, kulturhuse og virksomheder, der bruger Joomla til at tage tilmeldinger til arrangementer, kurser eller møder.

En angriber kan udtrække data fra webstedets database, herunder navne, e-mailadresser, telefonnumre og andre oplysninger, som er registreret i forbindelse med tilmeldinger. I nogle opsætninger kan angriberen også nå frem til administratoroplysninger eller adgangskoder gemt i databasen. Sårbarheden giver ikke mulighed for at ændre eller slette data, men lækket af persondata kan i sig selv udløse en anmeldelsespligt efter databeskyttelsesreglerne.

CVSS-score er 8,2 ud af 10, hvilket er alvorligt. Angrebet kræver ingen login og ingen handling fra en bruger, det kan udføres over internettet med et almindeligt GET-kald. Konsekvensen er høj risiko for at fortrolige data lækkes (C:H), mens der ikke er risiko for at data slettes eller webstedet lægges ned (A:N). Der er ikke oplysninger om, at sårbarheden aktivt udnyttes bredt, men de tekniske detaljer er offentligt beskrevet, så et angreb kræver ikke særlig ekspertise.

Følg punkterne i denne rækkefølge:

1. Undersøg om jeres Joomla-websted bruger Event Registration Pro Calendar, og om det kører version 4.1.3. Kontakt leverandøren af modulet for at få en opdateret version, der lukker hullet.
2. Er der ingen opdatering tilgængelig, så deaktivér eller afinstallér modulet, til der findes en rettet version.
3. Bloker eller begræns adgang til forespørgsler med option=com_registrationpro og view=category via jeres webapplikationsfirewall eller webserverkonfiguration.
4. Gennemgå webserverens logfiler for usædvanlige forespørgsler med SQL-kommandoer i id-parameteren, som kan indikere at sårbarheden allerede er udnyttet.
5. Skift adgangskoder for administratorer og databasebrugere, hvis I finder tegn på at databasen har været tilgået.
6. Er I i tvivl om, hvorvidt jeres opsætning er sårbar, eller om data allerede er lækket, bør I hente hjælp udefra til en teknisk undersøgelse.