CVE-2017-20277: SQL-sårbarhed i Joomla JoomRecipe 1.0.4
SQL-indsprøjtning i Joomla-udvidelsen JoomRecipe 1.0.4 lader angribere hente data fra databasen uden login. Fjern eller opdatér udvidelsen.
Hvad er det?
CVE-2017-20277 er en sårbarhed i Joomla-udvidelsen JoomRecipe version 1.0.4. Fejlen sidder i parameteren search_author på søgeresultatsiden og er en blind SQL-indsprøjtning: en teknik hvor angriberen sender manipuleret SQL-kode (databasesprog) ind via en søgeforespørgsel og gætter sig til svaret ud fra, om siden opfører sig anderledes, uden at se selve databasesvaret direkte. Angrebet kræver ingen login og udføres via en almindelig POST-forespørgsel til søgeendpointet. Over tid kan angriberen på den måde trække oplysninger ud af databasen, felt for felt.
Hvem rammer det?
Sårbarheden rammer Joomla-installationer, hvor komponenten JoomRecipe version 1.0.4 er installeret. Det gælder typisk foreninger, restauranter, madblogs eller virksomheder, der bruger komponenten til at vise opskrifter på deres hjemmeside. Andre Joomla-udvidelser eller kernen af Joomla er ikke berørt af denne konkrete fejl.
Hvad kan ske?
En angriber kan uden at logge ind trække data ud af hjemmesidens database, for eksempel brugeroplysninger, adgangskode-hash eller andre oplysninger, der ligger i samme database som Joomla-installationen. Det sker gradvist, ved at stille en lang række spørgsmål til databasen og aflæse svarene ud fra sidens reaktion. For en dansk virksomhed kan det betyde lækage af kunde- eller medlemsoplysninger og risiko for, at data efterfølgende bruges til yderligere angreb, for eksempel udgivelse af stjålne adgangskoder.
Hvor alvorligt er det?
CVSS-scoren er 8,2 ud af 10, hvilket er alvorligt. Angrebet kræver ikke login og ingen handling fra en bruger, det kan udføres direkte over internettet mod søgefunktionen. Konsekvensen er høj risiko for lækage af fortrolige data (høj fortrolighedspåvirkning), mens der kun er begrænset risiko for, at data ændres, og ingen risiko for, at siden går ned. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb på nuværende offentliggørelsestidspunkt, men fejltypen (CWE-89, SQL-indsprøjtning) er velkendt og let at automatisere angreb mod.
Hvad gør jeg nu?
Følg punkterne i denne rækkefølge for at lukke hullet og begrænse skaden:
- Fjern komponenten JoomRecipe fra jeres Joomla-installation, eller opdatér til en rettet version, hvis vendoren har udgivet en.
- Bloker adgang til søgeendpointet, der bruger search_author-parameteren, via webserverens konfiguration eller en webapplikationsfirewall.
- Gennemgå adgangslogfiler for usædvanlige POST-forespørgsler til søgesiden, herunder gentagne forespørgsler med varierende parametre.
- Skift adgangskoder for databasebrugere og undersøg, om der er tegn på, at data allerede er blevet hentet ud.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv kan fjerne komponenten, eller hvis I finder tegn på misbrug i logfilerne.
Fjern eller opdatér inden 7 dage
Vi anbefaler, at I straks fjerner JoomRecipe-komponenten fra jeres Joomla-installation, hvis den ikke er i aktiv brug, og opdaterer til en rettet version, hvis der findes en. Bruger I komponenten aktivt, bør I som minimum blokere adgang til søgefunktionen, mens I finder en permanent løsning. Det er kun i orden at vente, hvis I med sikkerhed kan bekræfte, at komponenten ikke er installeret på jeres site.
Tidslinje
Konkrete eksempler
Madforening med Joomla-hjemmeside
En dansk madforening bruger Joomla med JoomRecipe til at dele medlemmernes opskrifter på foreningens hjemmeside. En angriber finder søgefunktionen og sender manipulerede forespørgsler til search_author-parameteren, hvilket gradvist afslører oplysninger fra medlemsdatabasen, herunder e-mailadresser og adgangskode-hash. Foreningen opdager først problemet, da flere medlemmer melder om uautoriserede login-forsøg på andre tjenester, hvor de har genbrugt samme adgangskode.
Ofte stillede spørgsmål
Er vores virksomhed ramt af denne sårbarhed?
Kun hvis jeres Joomla-hjemmeside har komponenten JoomRecipe version 1.0.4 installeret. Andre Joomla-sider eller andre versioner af Joomla er ikke omfattet af denne konkrete fejl.
Hvordan tjekker vi, om JoomRecipe er installeret?
Log ind i Joomlas administrationspanel og kig under Udvidelser eller Komponenter. Ligger JoomRecipe på listen, bør I kontrollere versionsnummeret. Kan I ikke finde det, kan en gennemgang af filsystemet på webserveren efter mapper med navnet joomrecipe også afklare det.
Kan vi vente til weekenden med at rette det?
Det kan I gøre, hvis komponenten ikke er offentligt tilgængelig, for eksempel fordi siden ligger bag login eller ikke er tilgået fra internettet. Er søgefunktionen tilgængelig for alle besøgende, bør I lukke hullet hurtigst muligt, da angrebet ikke kræver login.
Kræver angrebet, at en bruger klikker på noget?
Nej. Angrebet sker direkte mod jeres server via en almindelig søgeforespørgsel og kræver ingen handling fra en besøgende eller medarbejder.
Skal vi anmelde dette til Datatilsynet?
Kun hvis I finder konkrete tegn på, at persondata faktisk er blevet hentet ud af databasen. Uden tegn på databrud er der ikke pligt til anmeldelse, men vi anbefaler alligevel at undersøge logfilerne som beskrevet ovenfor.
Findes der en officiel opdatering fra vendoren?
Det er ikke oplyst i de tilgængelige data. Kan I ikke finde en rettet version, er den mest sikre løsning at fjerne komponenten helt, indtil en rettelse er bekræftet.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Joomla JoomRecipe 1.0.4 component contains a blind SQL injection vulnerability in the search_author parameter on the search results page. Attackers can inject SQL code through POST requests to the search endpoint to extract database information using boolean-based blind SQL injection techniques.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.