CVE-2017-20276: SQL-indsprøjtning i Joomla SIMGenealogy

CVE-2017-20276 er en sårbarhed i tredjepartskomponenten SIMGenealogy til Joomla, version 2.1.5. Fejlen er SQL-indsprøjtning, hvor en angriber via parameteren type i et almindeligt GET-kald til index.php kan indsætte egen SQL-kode i et databasekald. SQL-indsprøjtning betyder, at inddata fra brugeren bliver sendt direkte videre til databasen uden ordentlig kontrol, så angriberen reelt kan stille sine egne spørgsmål til databasen. Her rammer det specifikt visningen view=latest under option=com_simgenealogy, som bruges til at vise nyeste slægtsdata på hjemmesiden.

Det rammer Joomla-websteder, der har installeret komponenten SIMGenealogy i version 2.1.5. Det er typisk lokalhistoriske arkiver, slægtsforskningsforeninger, museer og kommunale kulturinstitutioner i Danmark, der bruger denne type komponent til at vise slægts- og familiedata offentligt på deres hjemmeside. Er komponenten ikke installeret, er I ikke berørt af denne konkrete sårbarhed.

En angriber kan uden login hente indhold fra jeres database, herunder brugernavne, adgangskodehashes, medlemslister og andre personoplysninger, som ligger i samme database som SIMGenealogy-komponenten. For en forening eller institution kan det betyde læk af medlemsdata eller slægtsoplysninger om navngivne personer, hvilket kan udløse pligt til at underrette Datatilsynet efter databeskyttelsesforordningen.

CVSS-scoren er 8,2 ud af 10, hvilket er alvorligt. Angrebet kræver ikke login og ingen handling fra en bruger, det kan udføres over internettet med et simpelt webkald og lav teknisk kompleksitet. Konsekvensen er høj fortrolighedspåvirkning, altså at fortrolige data kan læses, mens dataintegritet kun rammes let, og tilgængeligheden af systemet påvirkes slet ikke. Der er ikke rapporteret aktiv udnyttelse i naturen, men detaljerne i beskrivelsen er offentligt kendte og lette at omsætte til et angreb.

Følg punkterne i rækkefølge for at lukke hullet og begrænse skaden.

1. Undersøg om jeres Joomla-installation bruger komponenten SIMGenealogy, og i givet fald hvilken version. Findes en opdateret version, installér den. Findes ingen opdatering, deaktivér eller afinstallér komponenten, indtil der findes en rettet udgave.
2. Kan komponenten ikke undværes med det samme, blokér adgang til stien index.php med option=com_simgenealogy via jeres webserver eller en webapplikationsfirewall, indtil den er fjernet eller rettet.
3. Gennemgå webserverlogs for tidligere kald til index.php med option=com_simgenealogy og view=latest for at afgøre, om sårbarheden allerede er blevet udnyttet mod jer.
4. Skift adgangskoder til databasebrugere og eventuelle administratorkonti, hvis I finder tegn på uautoriseret adgang.
5. Vurdér, om der er sket læk af persondata, og om det udløser underretningspligt over for Datatilsynet.
6. Er I i tvivl om, hvorvidt komponenten er i brug, eller om jeres logs viser tegn på misbrug, så få en ekstern gennemgang af jeres Joomla-opsætning.