CVE-2017-20274: SQL-injektion i Joomla LMS King

CVE-2017-20274 er en SQL-injektion i Joomla-udvidelsen LMS King Professional version 3.2.4.0. SQL-injektion betyder, at en angriber kan snige egen databasekode ind i et websites forespørgsler og dermed læse data, den ikke skal have adgang til. Fejlen ligger i parameteren cp_id, som bruges i et almindeligt GET-kald til index.php med bestemte komponent- og visningsparametre. Angriberen behøver ikke være logget ind og skal ikke overtale nogen til at klikke på noget. Kaldet kan sendes direkte fra en browser eller et script.

Det rammer virksomheder og organisationer, der driver et Joomla-website med udvidelsen LMS King Professional i version 3.2.4.0, typisk brugt til e-learning og kursusadministration. Er udvidelsen installeret og tilgængelig på internettet, er sitet berørt uanset hvilken Joomla-kerneversion det ellers kører.

En angriber kan trække oplysninger direkte ud af databasen, for eksempel brugernavne, e-mailadresser, adgangskode-hashes og kursusdata. For en dansk virksomhed med kursusportal eller medarbejderuddannelse betyder det risiko for lækage af persondata om ansatte eller kunder, som skal anmeldes efter databeskyttelsesreglerne, hvis oplysningerne er personhenførbare.

CVSS-scoren er 8,2 ud af 10, alvorlig. Angrebet kræver ingen login og ingen handling fra en bruger, og det kan udføres over internettet med lav teknisk kompleksitet. Konsekvensen er høj fortrolighed, altså adgang til data, mens integritet og tilgængelighed kun rammes i mindre grad eller ikke rammes. Der er ikke fundet dokumentation for, at fejlen aktivt udnyttes i angreb, men den tekniske metode er offentligt beskrevet ned til den præcise webadresse, hvilket gør den nem at afprøve for enhver, der leder efter sårbare sites.

Følg trinene i denne rækkefølge:

1. Undersøg om jeres Joomla-site bruger udvidelsen LMS King Professional, og se om versionen er 3.2.4.0. Er der ingen nyere version tilgængelig fra leverandøren, skal udvidelsen deaktiveres eller fjernes helt.
2. Er en opdateret version tilgængelig, installér den, og bekræft at cp_id-parameteren ikke længere accepterer ukontrolleret input.
3. Kan udvidelsen ikke fjernes med det samme, blokér adgang til stien med option=com_lmsking, view=lmsking og layout=learningpath via en webapplikationsfirewall eller webserverens regler.
4. Gennemgå adgangslogfiler for uventede kald med cp_id-parametre, der indeholder tegn som anførselstegn, UNION eller SELECT.
5. Skift adgangskoder for administratorer og brugere, hvis databasen kan have været tilgået, og vurdér om lækagen skal anmeldes til Datatilsynet.
6. Er I i tvivl om, hvorvidt sitet er ramt, eller hvordan I fjerner udvidelsen sikkert uden at ødelægge kursusdata, så hent hjælp hos en it-sikkerhedsrådgiver.